Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\VOS\YT Downloader<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{BB41EE90-EBE5-4038-ACEC-D84946B16473}] 'Script' = '[#CAMEYO-VAR#]res://%Program Files%\YouTomato\YT Downloader\YTDX_IE.dll/300'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKCU>\Software\VOS\YT Downloader<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\YouTomato\YT Downloader\YTDownloader.exe' = '[#CAMEYO-VAR#]%Program Files%\YouTomato\YT Downloader\YTDownloader.exe:*:Enabled:YT Downloader'
- [<HKCU>\Software\VOS\YT Downloader<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\YouTomato\YT Downloader\YTDownloader.exe' = '[#CAMEYO-VAR#]%Program Files%\YouTomato\YT Downloader\YTDownloader.exe:*:Enabled:YT Downloader'
Создает и запускает на исполнение:
- '%APPDATA%\VOS\YT Downloader\YT Downloader.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\VOS\YT Downloader\EngineStamps\ZipCache.20141107-041322.093.stamp
- %APPDATA%\VOS\YT Downloader\CHANGES\CryptCheck.dat
- %APPDATA%\VOS\YT Downloader\Manif.2868.new.xml
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db.2856.tmp
- %APPDATA%\VOS\YT Downloader\SandboxCfg.db.2856.tmp
- %APPDATA%\VOS\YT Downloader\ZipCache
- %HOMEPATH%\My Documents\My Videos\Desktop.ini
- %APPDATA%\VOS\YT Downloader\CHANGES\%Internet Temp%\Content.IE5\KHMHGZ4F\update[1].xml
- %APPDATA%\VOS\YT Downloader\CHANGES\%Profile%\Local Settings\Temp\~YD1.tmp
- %APPDATA%\VOS\YT Downloader\Manif.2868.org.xml
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db.2872.tmp
- %APPDATA%\VOS\YT Downloader\SandboxCfg.db.2872.tmp
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtReg.Base.dat
- %APPDATA%\VOS\YT Downloader\EngineStamps\AppVirtDll64_YT Downloader.dll.20141107-041322.062.stamp
- %APPDATA%\VOS\YT Downloader\EngineStamps\YT Downloader.exe.20141107-041322.078.stamp
- %APPDATA%\VOS\YT Downloader\EngineStamps\YT Downloader64.exe.20141107-041322.093.stamp
- %APPDATA%\VOS\YT Downloader\VirtApp.ini
- %APPDATA%\VOS\YT Downloader\EngineStamps\AppVirtDll_YT Downloader.dll.20141107-041322.047.stamp
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db
- %APPDATA%\VOS\YT Downloader\VirtReg.Prog.dat
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtReg.dat
- %APPDATA%\VOS\YT Downloader\EngineStamps\VirtFiles.Prog.db.20141107-041322.093.stamp
- %APPDATA%\VOS\YT Downloader\EngineStamps\SandboxCfg.db.20141107-041322.093.stamp
- %APPDATA%\VOS\YT Downloader\EngineStamps\VirtReg.Prog.dat.20141107-041322.093.stamp
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\My Documents\My Videos\Desktop.ini
Удаляет следующие файлы:
- %APPDATA%\VOS\YT Downloader\Manif.2868.new.xml
- %APPDATA%\VOS\YT Downloader\CHANGES\%Internet Temp%\Content.IE5\KHMHGZ4F\update[1].xml
- %APPDATA%\VOS\YT Downloader\CHANGES\%Profile%\Local Settings\Temp\~YD1.tmp
- %APPDATA%\VOS\YT Downloader\Manif.2868.org.xml
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db
- %APPDATA%\VOS\YT Downloader\SandboxCfg.db
- %TEMP%\~DF322B.tmp
Перемещает следующие файлы:
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db.2872.tmp в %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db
- %APPDATA%\VOS\YT Downloader\SandboxCfg.db.2872.tmp в %APPDATA%\VOS\YT Downloader\SandboxCfg.db
- %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db.2856.tmp в %APPDATA%\VOS\YT Downloader\CHANGES\VirtFiles.db
- %APPDATA%\VOS\YT Downloader\SandboxCfg.db.2856.tmp в %APPDATA%\VOS\YT Downloader\SandboxCfg.db
Сетевая активность:
Подключается к:
- 'www.yo###mato.com':80
TCP:
Запросы HTTP GET:
- www.yo###mato.com/yt-downloader/update.xml
UDP:
- DNS ASK www.yo###mato.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'GFXSVR'
- ClassName: 'Shell_TrayWnd' WindowName: ''
