Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.StartPage.31017
Добавлен в вирусную базу Dr.Web:
2010-07-08
Описание добавлено:
2022-06-05
Technical Information
To ensure autorun and distribution
Modifies the following registry keys
[<HKLM>\Software\Classes\gyszgfso\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\jdqkbihfrn\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\yblmapmjp\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\ihjhepgyin\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\crnqyor\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\tfwyqpv\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\wvqfkiq\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\lvdc\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\krpmyd\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\mqsgaio\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\anht\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\pjfpoehduurn\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\myxmklo\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\mutds\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\jcnwof\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\vmwboq\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\tdopk\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\qxpoutgwle\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\iatjsk\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\bmfmn\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\ukzmcs\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\onqsfu\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\fbrdx\shell\open\command] '' = 'wscript.exe /B "%1"'
[<HKLM>\Software\Classes\kbrymh\shell\open\command] '' = 'wscript.exe /B "%1"'
Malicious functions
To complicate detection of its presence in the operating system,
modifies the following system settings:
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'
Modifies file system
Creates the following files
%ProgramFiles%\chzomjs\install_18.jse
C:\users\public\desktop\mozilla thunderbird.flpgeyh
C:\users\public\desktop\opera.fvgucxoqv
C:\users\public\desktop\steam.awgwtv
C:\users\public\desktop\winamp.qxxmir
%ProgramFiles%\realone player\internt explorer\common files\windbver.vrdmlw
%ProgramFiles%\windows live\installshield\vmware\a
%ProgramFiles%\windows live\installshield\vmware\b
%HOMEPATH%\desktop\internet explorer.rofir
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\qip 2012.npsb
%HOMEPATH%\desktop\淘宝热卖.ptupfu
%HOMEPATH%\desktop\小游戏.xgaximrp
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\google chrome.yucckxi
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\icq.kgrhpwrp
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\launch internet explorer browser.elhjl
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\mail.ru agent.wcvcnyd
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\mozilla thunderbird.rpvlc
C:\users\public\desktop\mirc.ohfi
%ProgramFiles%\windows live\installshield\vmware\d
C:\users\public\desktop\google chrome.cgcxpccqrl
%ProgramFiles%\adobe\adobe\ultraiso\1.txt
%ProgramFiles%\chzomjs\tao.ico
%ProgramFiles%\chzomjs\game.ico
%ProgramFiles%\chzomjs\banana.dll
C:\id.txt
%ProgramFiles%\realone player\internt explorer\common files\d3dcompiler_35.jse
%ProgramFiles%\adobe\adobe\ultraiso\nvwrses.jse
%ProgramFiles%\realone player\internt explorer\common files\1.txt
%ProgramFiles%\realone player\internt explorer\common files\game.ico
C:\users\public\desktop\acrobat reader dc.btsbia
%ProgramFiles%\realone player\internt explorer\common files\tao.ico
%ProgramFiles%\windows live\installshield\vmware\m.txt
%HOMEPATH%\desktop\icq.akocrknhy
%HOMEPATH%\desktop\mail.ru agent.ctceyuflm
%HOMEPATH%\desktop\qip 2012.lrfvwpm
%HOMEPATH%\desktop\telegram.vycuqugbpsn
%HOMEPATH%\desktop\total commander 64 bit.makkkwkhqwjf
C:\users\public\desktop\firefox.pwlufcq
%HOMEPATH%\application data\microsoft\internet explorer\quick launch\winamp.seqot
Deletes the following files
%ProgramFiles%\chzomjs\game.ico
%ProgramFiles%\chzomjs\tao.ico
%ProgramFiles%\chzomjs\install_18.jse
Deletes itself.
Network activity
UDP
DNS ASK ta####.51595.com
DNS ASK to####.51595.com
DNS ASK un###.taomiwu.net
Miscellaneous
Searches for the following windows
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
Creates and executes the following
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\chzomjs\install_18.jse"
'%WINDIR%\syswow64\wscript.exe' /B "%ProgramFiles%\Adobe\Adobe\UltraISO\nvwrses.jse"
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\RealOne Player\Internt Explorer\Common Files"' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\Adobe\Adobe\UltraISO"' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\Windows Live\InstallShield\VMware"' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c del <Full path to file> > nul' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /C copy "%ProgramFiles%\RealOne Player\Internt Explorer\Common Files\WINDBVER.vrdmlw" "%ALLUSERSPROFILE%\「开始」菜单\程序\启动\WINDBVER.vrdmlw"' (with hidden window)
'%WINDIR%\syswow64\wscript.exe' /B "%ProgramFiles%\Adobe\Adobe\UltraISO\nvwrses.jse"' (with hidden window)
Executes the following
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\RealOne Player\Internt Explorer\Common Files"
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\Adobe\Adobe\UltraISO"
'%WINDIR%\syswow64\cmd.exe' /C mkdir "%ProgramFiles%\Windows Live\InstallShield\VMware"
'%WINDIR%\syswow64\wscript.exe' /B "%ProgramFiles%\RealOne Player\Internt Explorer\Common Files\d3dcompiler_35.jse"
'%WINDIR%\syswow64\cmd.exe' /c del <Full path to file> > nul
'%WINDIR%\syswow64\cmd.exe' /C copy "%ProgramFiles%\RealOne Player\Internt Explorer\Common Files\WINDBVER.vrdmlw" "%ALLUSERSPROFILE%\「开始」菜单\程序\启动\WINDBVER.vrdmlw"
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK