Win32.Troj.StartPage是一種針對Windows系統的木馬病毒，主要通過篡改註冊表及系統檔案劫持用戶瀏覽器行為。該病毒主要影響Windows 9x/ME至Windows 2003等早期版本作業系統，通過修改瀏覽器主頁、添加啟動項及禁止特定網站實現持續駐留。
病毒運行後，首先修改IE瀏覽器註冊表項，強制設定默認主頁及最新鍵入網址為指定域名，並在系統註冊表啟動項中添加路徑以達成開機自啟。同時，通過修改hosts檔案將多個安全類網站域名指向無效IP位址（如3721.com、rising.com.cn等），阻止用戶訪問相關站點進行修復。其行為特徵集中於註冊表路徑[HKCU\Software\Microsoft\Internet Explorer]與[HKLM...\Run]的多項鍵值操作，最終通過檔案層和註冊表層的雙重修改實現持久化攻擊。
基本介紹
- 中文名：Win32.Troj.StartPage
- 處理時間：2005-09-28
- 威脅級別：★
- 病毒類型：木馬
- 影響系統：Win 9x/ME,Win 2000/NT,Win XP
病毒信息,病毒行為,
病毒信息
影響系統：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行為
1. 病毒首先通過註冊表，修改主頁：
[HKCU\Software\Microsoft\Internet Explorer\Main]
"Start Page" = "http://www.*****.com/"
2. 然後病毒在註冊表中添加啟動項，是實現開機自啟：
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"io" = "c:\io.exe"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"io" = "c:\io.exe"
3. 病毒通過修改註冊表項，使網址"http://www.*****.com/"成為
最新鍵入網址：
[HKCU\Software\Microsoft\Internet Explorer\TypedURLs]
"url1" = "http://www.*****.com/"
4. 病毒通過修改註冊表，使該網址成為默認主頁網址：
[HKCU\Software\Microsoft\Internet Explorer\Main]
"default_page_url" = "http://www.*****.com"
5. 最後病毒修改hosts檔案，是中毒機器不能訪問以下網址：
0.0.0.0 download.3721.com
0.0.0.0 www.3721.com
0.0.0.0 3721.com
0.0.0.0 assistant.3721.com
0.0.0.0 zs.3721.com
0.0.0.0 dl.3721.net
0.0.0.0 cns.3721.com
0.0.0.0 help.3721.com
0.0.0.0 shield.zs.3721.com
0.0.0.0 zsbbs.3721.com
0.0.0.0 img.3721.com
0.0.0.0 110.3721.com
0.0.0.0 jiaoliu.3721.com
0.0.0.0 union.3721.com
0.0.0.0 download.yisou.com
0.0.0.0 cn.rd.yahoo.com
0.0.0.0 toolbar.yisou.com
0.0.0.0 cnsmin.3721.com
0.0.0.0 3721.net
0.0.0.0 address.3721.com
0.0.0.0 cnsmin.3721.com
0.0.0.0 cnsmin.3721.net
0.0.0.0 download.3721.net
0.0.0.0 community.rising.com.cn
