Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\VOS\TotoFoot pro version<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{8A69D345-D564-463c-AFF1-A69D9E530F96}] 'StubPath' = '"%PROGRAM_FILES%\Google\Chrome\Application\26.0.1410.64\Installer\chrmstp.exe" --configure-user-settings --verbose-logging --system-level --multi-install --chrome'
- [<HKCU>\Software\VOS\TotoFoot pro version\Registry\%CurrentUser%\Software\Microsoft\Windows\CurrentVersion\Run] 'GoogleChromeAutoLaunch_6B07BC7D99E610AC584D7A8D776BDEDC' = '"%PROGRAM_FILES%\Google\Chrome\Application\chrome.exe" --no-startup-window'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\TOTOFootpro_Demo.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\VOS\TotoFoot pro version\%System%\COMDLG32.OCX
- C:\VOS\TotoFoot pro version\%System%\ver25.000
- C:\VOS\TotoFoot pro version\VirtFiles.db.2544.tmp
- C:\VOS\TotoFoot pro version\ZipCache.20130515-110523.193.stamp
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\TOTOFootpro_Demo.exe
- C:\VOS\TotoFoot pro version\VirtFiles.db.2532.tmp
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\param001.ini
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\l_fold1\lang_fr.txt
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\images\un_slct.gif
- C:\VOS\TotoFoot pro version\%Internet Temp%\Content.IE5\KHMHGZ4F\totofootpro[1]
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\images\Nule_slct.gif
- C:\VOS\TotoFoot pro version\%Program Files%\TotoFoot pro\images\Nule.gif
- C:\VOS\TotoFoot pro version\%System%\ch32.000
- C:\VOS\TotoFoot pro version\ZipCache
- C:\VOS\TotoFoot pro version\AppVirtDll64_TotoFoot pro version.dll.20130515-104046.675.stamp
- C:\VOS\TotoFoot pro version\VirtFiles.db.20130515-115022.786.stamp
- C:\VOS\TotoFoot pro version\SandboxCfg.db.20130515-115022.786.stamp
- C:\VOS\TotoFoot pro version\VirtApp.ini.20130515-115022.786.stamp
- C:\VOS\TotoFoot pro version\AppVirtDll_TotoFoot pro version.dll.20130515-104046.595.stamp
- C:\VOS\TotoFoot pro version\VirtReg.export.20130515-115022.817.stamp
- C:\VOS\TotoFoot pro version\Icons\chrome.exe.ico
- C:\VOS\TotoFoot pro version\Icons\unins000.exe.ico
- C:\VOS\TotoFoot pro version\Icons\TOTOFootpro_Demo.exe.ico
- C:\VOS\TotoFoot pro version\VirtFiles.db.2516.tmp
- C:\VOS\TotoFoot pro version\%Common Programs%\TotoFoot pro\Desinstaller TotoFoot pro.lnk
- C:\VOS\TotoFoot pro version\%Common Programs%\TotoFoot pro\TotoFoot pro.lnk
Удаляет следующие файлы:
- %TEMP%\~DFC85B.tmp
- C:\VOS\TotoFoot pro version\VirtFiles.db
Перемещает следующие файлы:
- C:\VOS\TotoFoot pro version\VirtFiles.db.2544.tmp в C:\VOS\TotoFoot pro version\VirtFiles.db
- C:\VOS\TotoFoot pro version\VirtFiles.db.2532.tmp в C:\VOS\TotoFoot pro version\VirtFiles.db
- C:\VOS\TotoFoot pro version\VirtFiles.db.2516.tmp в C:\VOS\TotoFoot pro version\VirtFiles.db
Сетевая активность:
Подключается к:
- 'www.to###ootpro.com':80
- 'www.ha####outique.tk':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- www.to###ootpro.com/
UDP:
- DNS ASK www.to###ootpro.com
- DNS ASK www.ha####outique.tk
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: 'GFXSVR'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
