Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '%TEMP%\RarSFX0\RegistryCleaner.exe'
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\software\Martin Prikryl]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\languages\Slovak.lng
- %TEMP%\RarSFX0\languages\Slovak_bugtom.lng
- %TEMP%\RarSFX0\languages\slovenian.lng
- %TEMP%\RarSFX0\languages\Romania.lng
- %TEMP%\RarSFX0\languages\russian.lng
- %TEMP%\RarSFX0\languages\Serbian.lng
- %TEMP%\RarSFX0\languages\spanish.lng
- %TEMP%\RarSFX0\languages\spanish_ignacio.lng
- %TEMP%\RarSFX0\languages\Swedish.lng
- %TEMP%\RarSFX0\languages\slovenian_jrudec.lng
- %TEMP%\RarSFX0\languages\spain.lng
- %TEMP%\RarSFX0\languages\spanish (McM).lng
- %TEMP%\RarSFX0\languages\Romana.lng
- %TEMP%\RarSFX0\languages\japanese.lng
- %TEMP%\RarSFX0\languages\korean.lng
- %TEMP%\RarSFX0\languages\kurdish.lng
- %TEMP%\RarSFX0\languages\italian2.lng
- %TEMP%\RarSFX0\languages\italian3.lng
- %TEMP%\RarSFX0\languages\Italian_millo.lng
- %TEMP%\RarSFX0\languages\polish.lng
- %TEMP%\RarSFX0\languages\ptbr.lng
- %TEMP%\RarSFX0\languages\PTpt.lng
- %TEMP%\RarSFX0\languages\latvian.lng
- %TEMP%\RarSFX0\languages\Magyar.lng
- %TEMP%\RarSFX0\languages\Magyar2.lng
- %TEMP%\RarSFX0\languages\turkish.lng
- %TEMP%\RarSFX0\Backup.dll
- %TEMP%\RarSFX0\CheckUpdate.dll
- %TEMP%\RarSFX0\Config.dll
- %TEMP%\RarSFX0\Resources\RegistryCleaner\tab_btn_normal.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\Toolbar Default.png
- %TEMP%\RarSFX0\AppMetrics.dll
- %TEMP%\RarSFX0\data\backup.dat
- %TEMP%\RarSFX0\data\backup.ini
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update[1].php
- %TEMP%\RarSFX0\CrashReport.dll
- %TEMP%\RarSFX0\dbghelp.dll
- %TEMP%\RarSFX0\GUDownloader.exe
- %TEMP%\RarSFX0\Resources\RegistryCleaner\tab_btn_hover.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\activenow_click.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\activenow_hover.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\activenow_normal.png
- %TEMP%\RarSFX0\languages\ukrainian.lng
- %TEMP%\RarSFX0\languages\ukrainian2.lng
- %TEMP%\RarSFX0\languages\vietnamese.lng
- %TEMP%\RarSFX0\Resources\RegistryCleaner\oc_btn_hover.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\oc_btn_normal.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\tab_btn_click.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\Line.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\main_like.png
- %TEMP%\RarSFX0\Resources\RegistryCleaner\oc_btn_click.png
- %TEMP%\RarSFX0\languages\italian.lng
- %TEMP%\RarSFX0\settings.ini
- %TEMP%\RarSFX0\zlib1.dll
- %TEMP%\RarSFX0\data\ModuleInfo.ini
- %TEMP%\RarSFX0\RegistryCleaner.dll
- %TEMP%\RarSFX0\RegistryCleaner.exe
- %TEMP%\RarSFX0\RestoreCenter.dll
- %TEMP%\RarSFX0\languages\arabic_Saif.lng
- %TEMP%\RarSFX0\languages\Armenian.lng
- %TEMP%\RarSFX0\languages\bosnian.lng
- %TEMP%\RarSFX0\data\registry.dat
- %TEMP%\RarSFX0\data\xdata.dat
- %TEMP%\RarSFX0\languages\arabic.lng
- %TEMP%\RarSFX0\ObjectAdmin.dll
- %TEMP%\RarSFX0\Log.dll
- %TEMP%\RarSFX0\MachineCode.dll
- %TEMP%\RarSFX0\mfc90.dll
- %TEMP%\RarSFX0\archnet.url
- %TEMP%\RarSFX0\languages.dll
- %TEMP%\RarSFX0\LockDll.dll
- %TEMP%\RarSFX0\msvcm90.dll
- %TEMP%\RarSFX0\msvcp90.dll
- %TEMP%\RarSFX0\msvcr90.dll
- %TEMP%\RarSFX0\mfc90u.dll
- %TEMP%\RarSFX0\Microsoft.VC90.CRT.manifest
- %TEMP%\RarSFX0\Microsoft.VC90.MFC.manifest
- %TEMP%\RarSFX0\languages\Bulgarian.lng
- %TEMP%\RarSFX0\languages\french.lng
- %TEMP%\RarSFX0\languages\french2.lng
- %TEMP%\RarSFX0\languages\French_(RT).lng
- %TEMP%\RarSFX0\languages\French(#DG#).lng
- %TEMP%\RarSFX0\languages\French(CA).lng
- %TEMP%\RarSFX0\languages\French(FR).lng
- %TEMP%\RarSFX0\languages\German_Sarakael.lng
- %TEMP%\RarSFX0\languages\Greek.lng
- %TEMP%\RarSFX0\languages\hebrew.lng
- %TEMP%\RarSFX0\languages\french_Morvant.lng
- %TEMP%\RarSFX0\languages\french_nantesph.lng
- %TEMP%\RarSFX0\languages\German.lng
- %TEMP%\RarSFX0\languages\French (Ad Lib).lng
- %TEMP%\RarSFX0\languages\chineseT.lng
- %TEMP%\RarSFX0\languages\Croatian.lng
- %TEMP%\RarSFX0\languages\Czech.lng
- %TEMP%\RarSFX0\languages\Catala.lng
- %TEMP%\RarSFX0\languages\Catala_Joan.lng
- %TEMP%\RarSFX0\languages\chinese.lng
- %TEMP%\RarSFX0\languages\Farsi.lng
- %TEMP%\RarSFX0\languages\Finnish.lng
- %TEMP%\RarSFX0\languages\Francais.lng
- %TEMP%\RarSFX0\languages\Danish.lng
- %TEMP%\RarSFX0\languages\dutch.lng
- %TEMP%\RarSFX0\languages\english.lng
Удаляет следующие файлы:
- %TEMP%\RarSFX0\data\backup.ini
Сетевая активность:
Подключается к:
- 'www.gl###soft.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- http://www.gl###soft.com/update.php?mo###############################################################################################
UDP:
- DNS ASK www.gl###soft.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
