Trojan.StartPage1.29325

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SSFK] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\SSFK] 'ImagePath' = '%ProgramFiles%\SFK\SSFK.exe -s'
[<HKLM>\SYSTEM\ControlSet001\Services\WdMan] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\WdMan] 'ImagePath' = '%ALLUSERSPROFILE%\Application Data\LwinpL\WFini.exe -svr'

Вредоносные функции:

Запускает на исполнение:

'%APPDATA%\setup1\TSvr.exe'
'%APPDATA%\setup1\TSvr.exe' -ptid=eve0822 -si -is
'%ProgramFiles%\SFK\SSFK.exe' -s
'<Текущая директория>\_SSpm\Everything.exe' /ptid=eve0822 /S
'<Текущая директория>\_SSpm\ihpul.exe' -ptid=eve0822 -si
'<Текущая директория>\_SSpm\wpm.exe' -ptid=eve0822 -is
'<Текущая директория>\_SSpm\QQBrowser.exe' -ptid=eve0822
'%ALLUSERSPROFILE%\Application Data\LwinpL\WFini.exe' -svr
'%ALLUSERSPROFILE%\Application Data\LwinpL\WFini.exe' -run

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Application Data\LwinpL\tmpx\{2029B70D-A131-414B-942A-D6BF6A7FAC91}.html
<SYSTEM32>\tmp6.html
<Текущая директория>\EN_207500.html
<Текущая директория>\EN_206750.html
<Текущая директория>\EN_184484.html
<Текущая директория>\EN_183687.html
<Текущая директория>\tmp8.html
%ALLUSERSPROFILE%\Application Data\LwinpL\WFini.exe
%TEMP%\nsg2.tmp\System.dll
<Текущая директория>\EN_248156.html
<Текущая директория>\EN_247500.html
%ProgramFiles%\SFK\SSFK.exe
%ProgramFiles%\SFK\SFK.ini
%APPDATA%\setup1\TSvr.exe
%TEMP%\nsg2.tmp\exdll.dll
%APPDATA%\setup1\msvcr120.dll
%APPDATA%\setup1\msvcp120.dll
%TEMP%\HomePage.dat
<Текущая директория>\_SSpm\ihpul.exe
<Текущая директория>\_SSpm\Everything.exe
<Текущая директория>\_SSpm\QQBrowser.exe
<Текущая директория>\_SSpm\qks.exe
<Текущая директория>\_SSpm\cf.ini
<Текущая директория>\_SSpm\39.json
<Текущая директория>\_SSpm\EOF.exe
<Текущая директория>\_SSpm\DataBase
<Текущая директория>\_SSpm\QQBrowserFrame.dll
<Текущая директория>\EN_153515.html
<Текущая директория>\en_150343.html
<Текущая директория>\Z
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\z[1].php
<Текущая директория>\_SSpm\UnEverything.exe
<Текущая директория>\_SSpm\saber.exe
<Текущая директория>\_SSpm\wpm.exe
<Текущая директория>\_SSpm\winzipper.exe

Удаляет следующие файлы:

<SYSTEM32>\tmp6.html
%TEMP%\nsg2.tmp\exdll.dll
%TEMP%\nsg2.tmp\System.dll
<Текущая директория>\_SSpm\cf.ini
<Текущая директория>\Z
<Текущая директория>\tmp8.html

Сетевая активность:

Подключается к:

'www.nu###arch.com':80
'd1#######qrqmu.cloudfront.net':80
'localhost':1040
'localhost':1037
'd4#######i6x7.cloudfront.net':80

TCP:

Запросы HTTP GET:

http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac#######################
http://d1#######qrqmu.cloudfront.net/windowspm/up?pt####################################################################################################################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac###############################################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac####################################################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac############################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac#########################
http://www.nu###arch.com/search/z.php
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac###########################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac#####################################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac######################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac#####################
http://d4#######i6x7.cloudfront.net/v4/gtg/XXwareXXirtualXIDEXHardXDrive_11000000000000000001?ac#############################