Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Taowit\reg.exe'
- '%APPDATA%\Taowit\so.exe'
- '%APPDATA%\Taowit\taobao.exe'
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s <SYSTEM32>\taowit.reg
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\reg.cmd" "
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\reg.cmd
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\开机恢复默认首页.vbs
- %HOMEPATH%\「开始」菜单\程序\启动\开机恢复默认首页.vbs
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- <SYSTEM32>\taowit.reg
- <SYSTEM32>\taowit.ico
- %APPDATA%\Taowit\so.ico
- %APPDATA%\Taowit\so.exe
- %APPDATA%\Taowit\reg.exe
- %APPDATA%\Taowit\ie.ico
- %APPDATA%\Taowit\taobao.ico
- %APPDATA%\Taowit\taobao.exe
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
