Trojan.StartPage.34609

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '360SafeSpeed' = '%CommonProgramFiles%\system\360SafeSpeed.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsv11bc.tmp
%HOMEPATH%\favorites\ГЎВґВЅГі\ГіГ®ГЇВ·ГЇГўГґГё.url
%HOMEPATH%\favorites\ГЎВґВЅГі\ГГёГ¶В·ВµВјВєВЅ.url
%CommonProgramFiles(x86)%\system\regedit.ini
%CommonProgramFiles(x86)%\system\yuan.ini
%CommonProgramFiles(x86)%\system\set.bat
%CommonProgramFiles(x86)%\system\360safespeed.exe
%APPDATA%\microsoft\internet explorer\quick launch\Г¦ГґВ¶ВЇ internet explorer Г¤ВЇГ Г Г¦Г·.lnk
%HOMEPATH%\desktop\internet explorer.lnk
%TEMP%\nsb123a.tmp\nsexec.dll

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\system\360safespeed.exe

Удаляет следующие файлы

%CommonProgramFiles(x86)%\system\yuan.ini
%CommonProgramFiles(x86)%\system\regedit.ini
%CommonProgramFiles(x86)%\system\set.bat
%TEMP%\nsb123a.tmp\nsexec.dll

Другое

Запускает на исполнение

'%WINDIR%\syswow64\regini.exe' %CommonProgramFiles(x86)%\system\yuan.ini (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%CommonProgramFiles(x86)%\system\set.bat"" (со скрытым окном)
'%WINDIR%\syswow64\cacls.exe' "\Users\user\╫└├ÐÂµ\Internet Explorer.lnk" /t /e /c /r Administrator
'%WINDIR%\syswow64\cacls.exe' "\Users\user\╫└├ÐÂµ\Internet Explorer.lnk" /t /e /c /r Administrators
'%WINDIR%\syswow64\cacls.exe' "\Users\user\╫└├ÐÂµ\Internet Explorer.lnk" /t /e /c /r system
'%WINDIR%\syswow64\cacls.exe' "\Users\user\╫└├ÐÂµ\Internet Explorer.lnk" /t /e /c /r user
'%WINDIR%\syswow64\cacls.exe' "\Users\user\╫└├ÐÂµ\Internet Explorer.lnk" /t /e /c /g everyone:r
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Desktop\Internet Explorer.lnk" /t /e /c /r Administrator
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Desktop\Internet Explorer.lnk" /t /e /c /r Administrators
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Desktop\Internet Explorer.lnk" /t /e /c /r system
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Desktop\Internet Explorer.lnk" /t /e /c /r user
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Desktop\Internet Explorer.lnk" /t /e /c /g everyone:r
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\╞⌠╢ÐÂ» Internet Explorer ΣÐÂ»└└╞≈.lnk" /t /e /c /r Administrator
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\╞⌠╢ÐÂ» Internet Explorer ΣÐÂ»└└╞≈.lnk" /t /e /c /r Administrators
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\╞⌠╢ÐÂ» Internet Explorer ΣÐÂ»└└╞≈.lnk" /t /e /c /r system
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\╞⌠╢ÐÂ» Internet Explorer ΣÐÂ»└└╞≈.lnk" /t /e /c /r user
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\╞⌠╢ÐÂ» Internet Explorer ΣÐÂ»└└╞≈.lnk" /t /e /c /g everyone:r
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk" /t /e /c /g everyone:f
'%WINDIR%\syswow64\cacls.exe' "\Users\user\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lin" /t /e /c /g everyone:f
'%WINDIR%\syswow64\regini.exe' %CommonProgramFiles(x86)%\system\regedit.ini (со скрытым окном)