Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'upfst_fr_26.exe' = '<LS_APPDATA>\fst_fr_26\upfst_fr_26.exe -runhelper'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'fst_fr_26' = '"%PROGRAM_FILES%\fst_fr_26\fst_fr_26.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\fst_fr_26\fst_fr_26.exe'
- '<LS_APPDATA>\fst_fr_26\upfst_fr_26.exe' -runhelper
- '%TEMP%\FreeSofToday.exe' /VERYSILENT
- '%TEMP%\is-TPR3K.tmp\FreeSofToday.tmp' /SL5="$40036,2989531,56832,%TEMP%\FreeSofToday.exe" /VERYSILENT
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im freeSoftToday_widget.exe
- '<SYSTEM32>\taskkill.exe' /f /im fst_fr_26.exe
- '<SYSTEM32>\taskkill.exe' /f /im upfst_fr_26.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\fst_fr_26\unins000.msg
- %ALLUSERSPROFILE%\Start Menu\Programs\FREESOFTTODAY\Freesofttoday.lnk
- %PROGRAM_FILES%\fst_fr_26\is-1BILQ.tmp
- %TEMP%\nsp2.tmp\Ping.dll
- <LS_APPDATA>\fst_fr_26\fst_fr_26\1.10\cnf.cyl
- %PROGRAM_FILES%\fst_fr_26\unins000.dat
- %PROGRAM_FILES%\fst_fr_26\is-DO6LP.tmp
- %TEMP%\is-AMGN1.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-TPR3K.tmp\FreeSofToday.tmp
- %TEMP%\FreeSofToday.exe
- <LS_APPDATA>\fst_fr_26\is-VRRC1.tmp
- %PROGRAM_FILES%\fst_fr_26\is-E5QRA.tmp
- %PROGRAM_FILES%\fst_fr_26\is-L8LL1.tmp
Удаляет следующие файлы:
- %TEMP%\nsp2.tmp\Ping.dll
- %TEMP%\is-TPR3K.tmp\FreeSofToday.tmp
- %TEMP%\is-AMGN1.tmp\_isetup\_shfoldr.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\fst_fr_26\is-DO6LP.tmp в %PROGRAM_FILES%\fst_fr_26\predm.exe
- %PROGRAM_FILES%\fst_fr_26\is-1BILQ.tmp в %PROGRAM_FILES%\fst_fr_26\freeSoftToday_widget.exe
- <LS_APPDATA>\fst_fr_26\is-VRRC1.tmp в <LS_APPDATA>\fst_fr_26\upfst_fr_26.exe
- %PROGRAM_FILES%\fst_fr_26\is-L8LL1.tmp в %PROGRAM_FILES%\fst_fr_26\unins000.exe
- %PROGRAM_FILES%\fst_fr_26\is-E5QRA.tmp в %PROGRAM_FILES%\fst_fr_26\fst_fr_26.exe
Сетевая активность:
Подключается к:
- 'in#####.outbrowse.com':80
- 'up#.##pha00001.com':443
- 'ad#.##giedepub.com':80
TCP:
Запросы HTTP GET:
- in#####.outbrowse.com/installTrack.php?pu##################################################################################
- ad#.##giedepub.com/cgi-bin/advert/settags?x_#####################################################################################
UDP:
- DNS ASK in#####.outbrowse.com
- DNS ASK www.google.com
- DNS ASK ad#.##giedepub.com
- DNS ASK up#.##pha00001.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
