Trojan.Win32. StartPage.dz

Троянская программа, выполняющая деструктивные действия на компьютере пользователя.

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 11776 байт. Упакована UPX. Распакованный размер — около 22 КБ. Написана на Delphi.

Деструктивная активность

После запуска троянец выполняет следующие деструктивные действия:

* изменяет значения следующих ключей системного реестра:

       [HKCU\Software\Microsoft\Internet Explorer\Main]
       "Start Page" = http://my-searcher.com/index.htm
 
       [HKCU\Software\Microsoft\Internet Explorer\Main]
       "Use Search Asst" = "no"
 
       [HKCU\Software\Microsoft\Internet Explorer\Main]
       "Search Page" = "http://my-searcher.com/index.htm"
 
       [HKCU\Software\Microsoft\Internet Explorer\Main]
       "Search Bar" = "http://my-searcher.com/sp.htm"
 
       [HKCU\Software\Microsoft\Internet Explorer\SearchURL]
       "Default" = "http://my-searcher.com/index.htm"
 
       [HKCU\Software\Microsoft\Internet Explorer\SearchURL]
       "provider" = "gog1"
 
       [HKLM\SOFTWARE\Microsoft\Internet Explorer\Search]
       "SearchAssistant" = "http://my-searcher.com/sp.htm"
 
       Это приводит к изменению настроек браузера Internet Explorer.
     * создает ключ системного реестра:
 
       [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
       "olehelp" = "%System%\olehelp.exe"

Это приводит к автоматическому запуску файла «%System%\olehelp.exe» при каждом последующем старте системы — при условии, что данный файл существует.

* создает в папке «Избранное» текущего пользователя Windows ярлыки с именами:

       %USERPROFILE%\Favorites\FREE HIDDEN CAMS WORLD
       %USERPROFILE%\Favorites\FREE SPY CAM
       %USERPROFILE%\Favorites\FREE WEB CAMS CHATS
       %USERPROFILE%\Favorites\GET THIS 4 FREE

Созданные ярлыки указывают на следующие адреса соответственно:

      http://free.hcworld.com/*****searcher.com
http://free-spy-cam.net/*****searcher.com
http://web-cams-chat.com/*****searcher.com
http://getthis4free*****.com/

* удаляет следующий файл:

       c:\link.exe

На этом работа троянца завершается.

Другие названия

Trojan.Win32.StartPage.dz («Лаборатория Касперского») также известен как: Trojan.StartPage (Symantec), Trojan.StartPage.48128 (Doctor Web), Trojan:Win32/StartPage.BN (RAV), TROJ_STARTPAG.BN (Trend Micro), TR/StartPage.BN (H+BEDV), Startpage.3.AR (Grisoft), Trojan.StartPage.BN (SOFTWIN), Trojan Horse (Panda), Win32/StartPage.DZ (Eset)

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.