Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\powerisoportablefullversion2012\PowerISO.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%TEMP%\powerisoportablefullversion2012\PWRISOSH.DLL"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\powerisoportablefullversion2012\Lang\SimpChinese.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Serbian(cyrl).lng
- %TEMP%\powerisoportablefullversion2012\Lang\Russian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Spanish.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Slovenian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Slovak.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Portuguese(Brazil).lng
- %TEMP%\powerisoportablefullversion2012\Lang\Lithuanian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Korean.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Kazakh.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Polish.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Norsk.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Malay.lng
- %TEMP%\powerisoportablefullversion2012\License.txt
- %TEMP%\powerisoportablefullversion2012\libFLAC.dll
- %TEMP%\powerisoportablefullversion2012\lame_enc.dll
- %APPDATA%\PowerISO\Upgrade\version.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\softvipdownload[1]
- %TEMP%\$PowerISO$\1.tmp.ico
- %TEMP%\powerisoportablefullversion2012\History.txt
- %TEMP%\powerisoportablefullversion2012\Lang\TradChinese.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Thai.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Swedish.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Vietnamese.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Ukrainian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Turkish.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Japanese.lng
- %TEMP%\powerisoportablefullversion2012\Readme.txt
- %TEMP%\powerisoportablefullversion2012\PWRISOVM.EXE
- %TEMP%\powerisoportablefullversion2012\PWRISOSH.DLL
- %TEMP%\powerisoportablefullversion2012\Lang\Belarusian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Armenian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Arabic.lng
- %TEMP%\powerisoportablefullversion2012\PowerISO.exe
- %PROGRAM_FILES%\Portable\PowerISO v5.5 Premium Portable\MoreSoftwareFullVersion.url
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\powerisoportablefullversion2012\PowerISO.chm
- %TEMP%\powerisoportablefullversion2012\piso.exe
- %TEMP%\powerisoportablefullversion2012\MACDll.dll
- %TEMP%\powerisoportablefullversion2012\Lang\Greek.lng
- %TEMP%\powerisoportablefullversion2012\Lang\German.lng
- %TEMP%\powerisoportablefullversion2012\Lang\french.lng
- %TEMP%\powerisoportablefullversion2012\Lang\italian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Indonesian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Hungarian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Farsi.lng
- %TEMP%\powerisoportablefullversion2012\Lang\croatian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Bulgarian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Bosnian.lng
- %TEMP%\powerisoportablefullversion2012\Lang\Dutch.lng
- %TEMP%\powerisoportablefullversion2012\Lang\danish.lng
- %TEMP%\powerisoportablefullversion2012\Lang\czech.lng
Удаляет следующие файлы:
- %TEMP%\$PowerISO$\1.tmp.ico
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
Сетевая активность:
Подключается к:
- 'www.po###iso.com':80
- 'so####pdownload.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.po###iso.com/version.ini
- so####pdownload.com/
UDP:
- DNS ASK www.po###iso.com
- DNS ASK so####pdownload.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
