Trojan.StartPage1.10438

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SettingsGuardUi' = '"%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\sg.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%ALLUSERSPROFILE%\Application Data\SettingsGuard\101501~1.201\loader.dll '

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SettingsGuard] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\sg.exe'
'%ALLUSERSPROFILE%\Application Data\SettingsGuard\SettingsGuard.exe'
'%TEMP%\nsa2.tmp\installer.exe' /Install /stpath=searchalgo.ini <Полный путь к вирусу>

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1003\sts.bin
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1003\se.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\asg.dll
%ALLUSERSPROFILE%\Application Data\SettingsGuard\SettingsGuard.exe
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1004\sts.bin
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1004\se.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1003\nt.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1003\hp.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\Custom Search.xml
%ALLUSERSPROFILE%\Application Data\SettingsGuard\uninstall.exe
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\status.log
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\searchplugins\SearchAlgo.xml
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\sg.exe
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\loader.dll
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\aff.dll
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\aie.dll
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1004\nt.history
%TEMP%\nsa2.tmp\package\loader.dll
%TEMP%\nsa2.tmp\package\guard.dll
%TEMP%\nsa2.tmp\package\ie.dll
%TEMP%\nsa2.tmp\package\ui.exe
%TEMP%\nsa2.tmp\Custom Search.xml
%TEMP%\nsa2.tmp\installer.exe
%TEMP%\nsa2.tmp\package\service.exe
%TEMP%\nsa2.tmp\searchalgo.ini
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-500\se.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-500\nt.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-1004\hp.history
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-500\sts.bin
%TEMP%\nsa2.tmp\package\loader64.dll
%TEMP%\nsa2.tmp\package\ff.dll
%ALLUSERSPROFILE%\Application Data\SettingsGuard\1.0.1501.2014\S-1-5-21-2052111302-484763869-725345543-500\hp.history
%TEMP%\nsa2.tmp\package\ie64.dll