Trojan.StartPage.57893

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'NoVooIT Update' = '%PROGRAM_FILES%\NoVooIT\Updater\Updater.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\NoVooIT\Updater\NoVooITUpdaterSetup.exe' /S
'%TEMP%\nsh4.tmp\chinstall\chromeReset.exe' /crx="%TEMP%\nsh4.tmp\chinstall\ext.crx" /path="%TEMP%\nsh4.tmp\chinstall\extracted"
'%TEMP%\nsy2.tmp\NoVooITAddonsSetup.exe' /S /verysilent

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe
chrome.exe
iexplore.exe

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\main.xul
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\main.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\prefs.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\skin\NoVooIT.ico
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\tabs_listener.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\globals.js
%TEMP%\nsh4.tmp\inetc.dll
%TEMP%\nsh4.tmp\System.dll
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome.manifest
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\filesrv.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\install.rdf
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\updinst[1]
%PROGRAM_FILES%\NoVooIT\Updater\uninstall.exe
%TEMP%\updtinst.txt
%TEMP%\stat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1000[1]
%PROGRAM_FILES%\NoVooIT\Updater\Updater.exe
%ALLUSERSPROFILE%\Start Menu\Programs\NoVooITSet\Uninstall.lnk
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\staged\addon@NoVooIT.com\chrome\content\skin\NoVooIT.png
%PROGRAM_FILES%\NoVooITAddon\uninstall.exe
%TEMP%\nsx6.tmp\System.dll
%PROGRAM_FILES%\NoVooIT\Updater\NoVooITUpdaterSetup.exe
%TEMP%\nsh4.tmp\chinstall\chromeReset.exe
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\searchPlugins\Search The Web.xml
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.jstmp
%TEMP%\nsy2.tmp\NoVooITAddonsSetup.exe
%PROGRAM_FILES%\NoVooITAddon\onload.js
%PROGRAM_FILES%\NoVooITAddon\NoVooIT.dll
%TEMP%\nsy2.tmp\System.dll
%TEMP%\nsy2.tmp\NSISdl.dll
%TEMP%\nsy2.tmp\inetc.dll
%TEMP%\nsy2.tmp\Processes.dll
%TEMP%\nsy2.tmp\searchInstaller.dll
%TEMP%\search.ini
%TEMP%\nsh4.tmp\chinstall\extracted\Vonteera-48-48.png
%TEMP%\nsh4.tmp\chinstall\extracted\Vonteera-16-16.png
%TEMP%\nsh4.tmp\chinstall\extracted\_locales\en\messages.json
<LS_APPDATA>\Google\Chrome\User Data\Default\Local Storage\chrome-extension_jfhbklndhffnahdploecdffbedhgjnce_0.localstorage
%TEMP%\nsh4.tmp\Dialogs.dll
%TEMP%\nsh4.tmp\chinstall\extracted\Vonteera-128-128.png
%TEMP%\nsh4.tmp\ZipDLL.dll
%TEMP%\nsh4.tmp\chinstall\ext.crx
%TEMP%\nsh4.tmp\chinstall\extracted\bg.html
%TEMP%\nsh4.tmp\chinstall\extracted\manifest.json
%TEMP%\nsh4.tmp\chinstall\extracted\main.js