Trojan.StartPage.40567

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\uic\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\vistaw7\infofile.icl" Resetrun'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\vistaw7\KAV_97_10.exe'
'C:\usoftn\FunshionInstall.exe'
'%TEMP%\PPTV(pplive)_forwxf_0019.exe'
'%TEMP%\is-CKDNM.tmp\<Имя вируса>.tmp' /SL5="$30092,1324785,51712,<Полный путь к вирусу>"
'C:\runpisoft\runset.exe'
'C:\usoftn\FunshionInstall.exe' (загружен из сети Интернет)
'%TEMP%\PPTV(pplive)_forwxf_0019.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' "%WINDIR%\vistaw7\kpenxiao.sti" loadsoft1
'%WINDIR%\explorer.exe' /n,/select,C:\runpisoft\runset.exe
'%WINDIR%\explorer.exe' %ALLUSERSPROFILE%\Start Menu\Programs\Startup
'<SYSTEM32>\rundll32.exe' "%WINDIR%\vistaw7\comrundu.ducc" message1

Изменения в файловой системе:

Создает следующие файлы:

C:\usoftn\FunshionInstall.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Filesoft[1].exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lzchwl[1]
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\hg.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forwxf_0019[1].exe
C:\runpisoft\runset.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\PPTV(pplive)_forwxf_0019[1].exe
%TEMP%\PPTV(pplive)_forwxf_0019.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdone3077963879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installerc3077653879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdown3085463879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact3079213879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installer_antivirus3077343879.inf
%APPDATA%\Microsoft\CryptnetUrlCache\Content\0797C381B2F87EB5A1D5573BD15BA4F4
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\0797C381B2F87EB5A1D5573BD15BA4F4
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact3075313879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\log\uplive\klivesetup.log
%WINDIR%\Condu.lnk
%PROGRAM_FILES%\prgenerate\is-ONDBP.tmp
%PROGRAM_FILES%\prgenerate\is-6N6VL.tmp
%WINDIR%\vistaw7\Install.tmp
%PROGRAM_FILES%\prgenerate\unins000.dat
%PROGRAM_FILES%\prgenerate\is-N5KLG.tmp
%TEMP%\is-R8RBG.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-CKDNM.tmp\<Имя вируса>.tmp
%TEMP%\is-R8RBG.tmp\InstallDll.dll
%TEMP%\is-R8RBG.tmp\_isetup\_shfoldr.dll
%WINDIR%\vistaw7\comrundu.ducc
%WINDIR%\vistaw7\runset.exe
%WINDIR%\vistaw7\rd.txt
%WINDIR%\vistaw7\taobao.ico
%WINDIR%\vistaw7\serverID.txt
%WINDIR%\vistaw7\kpenxiao.sti
%WINDIR%\vistaw7\honst.uic
%WINDIR%\vistaw7\Config.ini
%WINDIR%\vistaw7\KAV_97_10.exe
%WINDIR%\vistaw7\infofile.tmp

Удаляет следующие файлы:

%TEMP%\is-R8RBG.tmp\_isetup\_shfoldr.dll
%TEMP%\is-CKDNM.tmp\<Имя вируса>.tmp
%TEMP%\is-R8RBG.tmp\_isetup\_RegDLL.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forwxf_0019[1].exe
%TEMP%\is-R8RBG.tmp\InstallDll.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\prgenerate\is-ONDBP.tmp в %PROGRAM_FILES%\prgenerate\Install.tmp
%PROGRAM_FILES%\prgenerate\is-6N6VL.tmp в %PROGRAM_FILES%\prgenerate\InstallDll.dll
%PROGRAM_FILES%\prgenerate\is-N5KLG.tmp в %PROGRAM_FILES%\prgenerate\unins000.exe

Сетевая активность:

Подключается к:

'www.lz##wl.com':8080
'www.lz##wl.com':80
'crl.verisign.com':80
'in##.duba.net':80
'cs#######-2-crl.verisign.com':80
'www.e0##7.com':80
'localhost':1037
'localhost':1035
'do####ad.pplive.com':80
'localhost':1042
'localhost':1041

TCP:

Запросы HTTP GET:

crl.verisign.com/pca3.crl
cs#######-2-crl.verisign.com/CSC3-2009-2.crl
in##.duba.net/pagetracer4Unencrypt/duba/__utm.gif?ty######################################################################################################################################################################################
do####ad.pplive.com/PPTV(pplive)_forwxf_0019.exe
www.e0##7.com/ppsr/Downsoft/Filesoft.exe
www.lz##wl.com/

UDP: