Trojan.Tofsee - Spambot

[Malekal_morte]

Trojan.Tofsee est un SpamBot, il était très régulièrement téléchargé par le botnet Slenfbot afin de monétiser ce dernier.

Bien entendu, il peut être installé par d'autres packs.

Process:
Path: C:\Documents and Settings\Malekal_morte\Desktop\mkyqc.exe
PID: 1648
Information:
Registry Group: Winlogon
Object:
Registry key: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Registry value: Userinit
New value:
Type: REG_SZ
Value: C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Malekal_morte\umwj.exe \s
Previous value:
Type: REG_SZ
Value: C:\WINDOWS\system32\userinit.exe,

Process:
Path: C:\Documents and Settings\Malekal_morte\Desktop\mkyqc.exe
PID: 1648
Information:
Registry Group: Machine AutoRun
Object:
Registry key: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Registry value: wcdi
Type: REG_SZ
Value: C:\WINDOWS\system32\wcdi.exe \u

Parent process:
Path: C:\Documents and Settings\Malekal_morte\Desktop\mkyqc.exe
PID: 1648
Information:
Child process:
Path: C:\WINDOWS\system32\wcdi.exe
Information:
Command line:"C:\WINDOWS\system32\wcdi.exe" \d

Les lignes HiJackThis sont une lignfe F2 et O4.
On reconnait facilement Tofsee par des paramètres du type \s \u etc.

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Malekal_morte\umwj.exe \s
O4 - HKLM\..\Run: [wcdi] C:\WINDOWS\system32\wcdi.exe \u

Capture des connexions SMTP :


Au moment du test, c'était une campagne en espagnol de mail de SPAM qui était envoyé :

12 dosis adicionales gratis.
Al fin una vez mas la alegria en la vida!
Cada uno vive solo una vez - prueba!
Coger como campeon del mundo?
Dopaje para tu miembro mejor.
El milagro azul - entonces resultara incluso con la vecina.
Encargue ahora y pruebe el milagro azul.
Energia para tu miembro sexual: adquirir y ahorrar 85 %.
Medio contra la impotencia.
No "venir" mas demasiado temprano?
Potencia debil - nosotros tenemos la resolucion.
Problemas con la potencia? Desde hoy en adelante ya no.
Pruebe - el hombre vive solo una vez.
RedBull para tu miembro mejor.
Revive la mente y el cuerpo.
Vida nueva de sincera alegria!

merci à superguigui64 pour l'envoi du fichier

Liens externes:
- ( September 29, 2016 ) Tofsee - A Botnet Gets Aggressive