Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im clover.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\Clover\locales\pt-BR.pak
- %ProgramFiles%\Clover\locales\pt-PT.pak
- %ProgramFiles%\Clover\locales\pl.pak
- %ProgramFiles%\Clover\locales\nb.pak
- %ProgramFiles%\Clover\locales\nl.pak
- %ProgramFiles%\Clover\locales\sl.pak
- %ProgramFiles%\Clover\locales\sr.pak
- %ProgramFiles%\Clover\locales\sk.pak
- %ProgramFiles%\Clover\locales\ro.pak
- %ProgramFiles%\Clover\locales\ru.pak
- %ProgramFiles%\Clover\locales\kn.pak
- %ProgramFiles%\Clover\locales\ko.pak
- %ProgramFiles%\Clover\locales\ja.pak
- %ProgramFiles%\Clover\locales\id.pak
- %ProgramFiles%\Clover\locales\it.pak
- %ProgramFiles%\Clover\locales\mr.pak
- %ProgramFiles%\Clover\locales\ms.pak
- %ProgramFiles%\Clover\locales\ml.pak
- %ProgramFiles%\Clover\locales\lt.pak
- %ProgramFiles%\Clover\locales\lv.pak
- %TEMP%\nsa2.tmp\System.dll
- %ProgramFiles%\Clover\uninst.exe
- %ALLUSERSPROFILE%\Desktop\Clover.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Clover\Clover.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Clover\Uninstall Clover.lnk
- <LS_APPDATA>\Clover\User Data\3.tmp
- <LS_APPDATA>\Clover\User Data\Default\4.tmp
- <LS_APPDATA>\Clover\User Data\Default\Current Session
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Clover.lnk
- <LS_APPDATA>\Clover\User Data\First Run
- %ProgramFiles%\Clover\locales\te.pak
- %ProgramFiles%\Clover\locales\th.pak
- %ProgramFiles%\Clover\locales\ta.pak
- %ProgramFiles%\Clover\locales\sv.pak
- %ProgramFiles%\Clover\locales\sw.pak
- %ProgramFiles%\Clover\locales\zh-CN.pak
- %ProgramFiles%\Clover\locales\zh-TW.pak
- %ProgramFiles%\Clover\locales\vi.pak
- %ProgramFiles%\Clover\locales\tr.pak
- %ProgramFiles%\Clover\locales\uk.pak
- %ProgramFiles%\Clover\clover.exe
- %ProgramFiles%\Clover\clover.dll
- %ProgramFiles%\Clover\License.txt
- %TEMP%\RarSFX0\Cached Theme.pak
- %TEMP%\RarSFX0\clover.dll
- %ProgramFiles%\Clover\locales\ar.pak
- %ProgramFiles%\Clover\locales\bg.pak
- %ProgramFiles%\Clover\locales\am.pak
- %ProgramFiles%\Clover\TabHelper64.dll
- %ProgramFiles%\Clover\TabHelper32.dll
- %TEMP%\RarSFX0\clover-fix.reg
- %TEMP%\RarSFX0\contextmenu.reg
- %TEMP%\RarSFX0\Clover_Setup.exe
- %TEMP%\RarSFX0\clover.exe
- %TEMP%\RarSFX0\Clover_Setup.cmd
- %TEMP%\RarSFX0\theme_toolbar.png
- %TEMP%\RarSFX0\Bookmarks
- %TEMP%\RarSFX0\ru.pak
- %TEMP%\RarSFX0\manifest.json
- %TEMP%\RarSFX0\Preferences
- %ProgramFiles%\Clover\locales\fil.pak
- %ProgramFiles%\Clover\locales\fr.pak
- %ProgramFiles%\Clover\locales\fi.pak
- %ProgramFiles%\Clover\locales\et.pak
- %ProgramFiles%\Clover\locales\fa.pak
- %ProgramFiles%\Clover\locales\hr.pak
- %ProgramFiles%\Clover\locales\hu.pak
- %ProgramFiles%\Clover\locales\hi.pak
- %ProgramFiles%\Clover\locales\gu.pak
- %ProgramFiles%\Clover\locales\he.pak
- %ProgramFiles%\Clover\locales\da.pak
- %ProgramFiles%\Clover\locales\de.pak
- %ProgramFiles%\Clover\locales\cs.pak
- %ProgramFiles%\Clover\locales\bn.pak
- %ProgramFiles%\Clover\locales\ca.pak
- %ProgramFiles%\Clover\locales\es-419.pak
- %ProgramFiles%\Clover\locales\es.pak
- %ProgramFiles%\Clover\locales\en-US.pak
- %ProgramFiles%\Clover\locales\el.pak
- %ProgramFiles%\Clover\locales\en-GB.pak
Удаляет следующие файлы:
- %TEMP%\nsa2.tmp\System.dll
Перемещает следующие файлы:
- <LS_APPDATA>\Clover\User Data\Default\4.tmp в <LS_APPDATA>\Clover\User Data\Default\Preferences
- <LS_APPDATA>\Clover\User Data\3.tmp в <LS_APPDATA>\Clover\User Data\Local State
Другое:
Ищет следующие окна:
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'ExploreWClass' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Clover_WidgetWin_0' WindowName: ''
- ClassName: 'Clover_MessageWindow' WindowName: '<LS_APPDATA>\Clover\User Data'
Создает и запускает на исполнение:
- '%ProgramFiles%\Clover\clover.exe'
- '%TEMP%\RarSFX0\Clover_Setup.exe' /S
Запускает на исполнение:
- '%WINDIR%\explorer.exe' /n,""
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles%\Clover\TabHelper32.dll"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\Clover_Setup.cmd" "
- '<SYSTEM32>\chcp.com' 1251
