Trojan.StartPage1.9

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Your Product\Setup_6267_ieue_S.exe'
'%PROGRAM_FILES%\Your Product\СёАЧ»бФ±.exe'
'%TEMP%\kingsoftkonline\KINSTALLERS_66_109928.exe' /s
'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1794418 "__IRAFN:<Полный путь к вирусу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
'%PROGRAM_FILES%\Your Product\IFoxInstall-y-c206203123-ng-s-run-x.exe'
'%PROGRAM_FILES%\Your Product\KINSTALLERS_66_109928.exe'
'%TEMP%\kingsoftkonline\KINSTALLERS_66_109928.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d "http://www.23##.com/?k1########" /f
'<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\Your Product\1.bat"

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Your Product\Uninstall\IRIMG2.JPG
%PROGRAM_FILES%\Your Product\Uninstall\IRIMG1.JPG
%TEMP%\nsj3.tmp\Auto.ini
%TEMP%\nsj3.tmp\System.dll
%HOMEPATH%\Start Menu\Programs\Your Product\Kingsoft Internet Security.lnk
%HOMEPATH%\Start Menu\Programs\Your Product\SHOnlineInstall Application.lnk
%HOMEPATH%\Start Menu\Programs\Your Product\ThunderHelper.lnk
%HOMEPATH%\Start Menu\Programs\Your Product\И¤УОРйДвЧАГж.lnk
%TEMP%\nsj3.tmp\FindProcDLL.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].asp
%TEMP%\nsj3.tmp\InstallOptions.dll
%TEMP%\kingsoftkonline\KINSTALLERS_66_109928.exe.tmp
%TEMP%\IFoxInfo.ini
%PROGRAM_FILES%\QYVirtualDesktop\QYVirtualDesktopCo.dll
%PROGRAM_FILES%\QYVirtualDesktop\QYVirtualDesktopIn.dll
%TEMP%\nsj3.tmp\modern-wizard.bmp
%TEMP%\nsj3.tmp\ioSpecial.ini
%TEMP%\Your Product Setup Log.txt
%TEMP%\_ir_sf_temp_0\IRIMG2.JPG
%PROGRAM_FILES%\Your Product\Uninstall\uninstall.dat
%PROGRAM_FILES%\Your Product\Uninstall\uni1.tmp
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG
%TEMP%\_ir_sf_temp_0\irsetup.dat
%PROGRAM_FILES%\Your Product\uninstall.exe
%PROGRAM_FILES%\Your Product\Setup_6267_ieue_S.exe
%PROGRAM_FILES%\Your Product\KINSTALLERS_66_109928.exe
%HOMEPATH%\Start Menu\Programs\Your Product\1.lnk
%PROGRAM_FILES%\Your Product\СёАЧ»бФ±.exe
%PROGRAM_FILES%\Your Product\Uninstall\uninstall.xml
%PROGRAM_FILES%\Your Product\lua5.1.dll
%PROGRAM_FILES%\Your Product\IFoxInstall-y-c206203123-ng-s-run-x.exe
%PROGRAM_FILES%\Your Product\1.bat

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].asp
%PROGRAM_FILES%\Your Product\Uninstall\uni1.tmp
%TEMP%\_ir_sf_temp_0\irsetup.dat

Перемещает следующие файлы:

%TEMP%\kingsoftkonline\KINSTALLERS_66_109928.exe.tmp в %TEMP%\kingsoftkonline\KINSTALLERS_66_109928.exe

Сетевая активность:

Подключается к:

'ph#####n.hd.sohu.com':80
'd.#####.ijinshan.com':80
'm.##11.com':80
'localhost':1038
'bo.###a.net:8080':80

TCP:

Запросы HTTP GET:

ph#####n.hd.sohu.com/upgrade/IFoxInfo.cfg
d.#####.ijinshan.com/duba/link/grthKAVSETUPS_66_0.exe
bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#########################################################################################################################
m.##11.com/html/index.asp

UDP: