Техническая информация
Вредоносные функции:
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\Language\Install\Chinese.lng
- %TEMP%\RarSFX0\Language\Install\Czech.lng
- %TEMP%\RarSFX0\Language\Install\Brazilian.lng
- %TEMP%\RarSFX0\Language\Install\Bulgarian.lng
- %TEMP%\RarSFX0\Language\Install\Estonian.lng
- %TEMP%\RarSFX0\Language\Install\Farsi.lng
- %TEMP%\RarSFX0\Language\Install\Dutch.lng
- %TEMP%\RarSFX0\Language\Install\English.lng
- %TEMP%\RarSFX0\Icons\Install\Install-6.ico
- %TEMP%\RarSFX0\Icons\Uninstall\Uninstall-1.ico
- %TEMP%\RarSFX0\Icons\Install\Install-4.ico
- %TEMP%\RarSFX0\Icons\Install\Install-5.ico
- %TEMP%\RarSFX0\Icons\Uninstall\Uninstall-4.ico
- %TEMP%\RarSFX0\Language\Install\Arabic.lng
- %TEMP%\RarSFX0\Icons\Uninstall\Uninstall-2.ico
- %TEMP%\RarSFX0\Icons\Uninstall\Uninstall-3.ico
- %TEMP%\RarSFX0\Language\Interface\Spanish.lng
- %TEMP%\RarSFX0\EngHelp.chm
- %TEMP%\RarSFX0\Language\Install\Spanish.lng
- %TEMP%\RarSFX0\Language\Install\Ukrainian.lng
- %TEMP%\$sm_inst\ico.tmp
- %TEMP%\$sm_inst\bmp.tmp
- <LS_APPDATA>\ins.reg
- <LS_APPDATA>\off.reg
- %TEMP%\RarSFX0\Language\Install\Greek.lng
- %TEMP%\RarSFX0\Language\Install\Italian.lng
- %TEMP%\RarSFX0\Language\Install\French.lng
- %TEMP%\RarSFX0\Language\Install\German.lng
- %TEMP%\RarSFX0\Language\Install\Russian.lng
- %TEMP%\RarSFX0\Language\Install\Serbian.lng
- %TEMP%\RarSFX0\Language\Install\Korean.lng
- %TEMP%\RarSFX0\Language\Install\Polish.lng
- %TEMP%\RarSFX0\Icons\Install\Install-3.ico
- %TEMP%\RarSFX0\Bitmaps\Wizard\Thumbs.db
- %TEMP%\RarSFX0\Bitmaps\Wizard\Wizard-1.bmp
- %TEMP%\RarSFX0\Bitmaps\Header\Header-4.bmp
- %TEMP%\RarSFX0\Bitmaps\Header\Thumbs.db
- %TEMP%\RarSFX0\Bitmaps\Wizard\Wizard-4.bmp
- %TEMP%\RarSFX0\Data\Add.bmp
- %TEMP%\RarSFX0\Bitmaps\Wizard\Wizard-2.bmp
- %TEMP%\RarSFX0\Bitmaps\Wizard\Wizard-3.bmp
- %TEMP%\RarSFX0\Leeme.txt
- %TEMP%\RarSFX0\sim.exe
- %TEMP%\RarSFX0\graph.dll
- %TEMP%\RarSFX0\icon.ico
- %TEMP%\RarSFX0\Bitmaps\Header\Header-2.bmp
- %TEMP%\RarSFX0\Bitmaps\Header\Header-3.bmp
- %TEMP%\RarSFX0\Smart Install Maker.exe
- %TEMP%\RarSFX0\Bitmaps\Header\Header-1.bmp
- %TEMP%\RarSFX0\Data\Password.bmp
- %TEMP%\RarSFX0\Data\Shortcut.bmp
- %TEMP%\RarSFX0\Data\More.bmp
- %TEMP%\RarSFX0\Data\Open.bmp
- %TEMP%\RarSFX0\Icons\Install\Install-1.ico
- %TEMP%\RarSFX0\Icons\Install\Install-2.ico
- %TEMP%\RarSFX0\Data\Uninstall.exe
- %TEMP%\RarSFX0\Data\Up.bmp
- %TEMP%\RarSFX0\Data\Down.bmp
- %TEMP%\RarSFX0\Data\Edit.bmp
- %TEMP%\RarSFX0\Data\Copy.bmp
- %TEMP%\RarSFX0\Data\Delete.bmp
- %TEMP%\RarSFX0\Data\List.bmp
- %TEMP%\RarSFX0\Data\Logo.bmp
- %TEMP%\RarSFX0\Data\Folder.bmp
- %TEMP%\RarSFX0\Data\Install.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\a94518.bat
- %TEMP%\RarSFX0\Bitmaps\Wizard\Thumbs.db
- %TEMP%\RarSFX0\Bitmaps\Header\Thumbs.db
Удаляет следующие файлы:
- %TEMP%\$sm_inst\ico.tmp
- %TEMP%\$sm_inst\bmp.tmp
Подменяет следующие файлы:
- %TEMP%\$sm_inst\bmp.tmp
- %TEMP%\$sm_inst\ico.tmp
Другое:
Ищет следующие окна:
- ClassName: 'WispWindowClass' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\sim.exe'
- '%TEMP%\RarSFX0\Smart Install Maker.exe'
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s <LS_APPDATA>\ins.reg
- '<SYSTEM32>\cmd.exe' /c %TEMP%\a94518.bat "%TEMP%\RarSFX0\Smart Install Maker.exe"
