Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im UninstallTool.exe
- '<SYSTEM32>\taskkill.exe' /f /im Tu.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-on83m.tmp\<Имя файла>.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-260q4.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-fjfmm.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-03asr.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-p5ndh.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-dilst.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-um6cl.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-14j48.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-c9r2q.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-5b18v.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-sqre2.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-69bnh.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-nlrmj.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-o87tl.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-rf945.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-anhuu.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-67rpb.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-unkps.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-v9vc8.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-sfk6o.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-qnb54.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-gba78.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-s1dng.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-knjv7.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-88r47.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-o5ech.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-2o4t3.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-n38mu.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-gqgmb.tmp
- D:\recycler\s-1-5-21-1229272821-842925246-1060284298-1003\info2
- D:\recycler\s-1-5-21-1229272821-842925246-1060284298-1003\desktop.ini
- %APPDATA%\kingsoft\duba\trashscan\ktrashscan.dll.doc
- %TEMP%\kcleaner\data\kclearusecfg.dat
- %TEMP%\kcleaner\data\trashtime.dat
- %TEMP%\kcleaner\data\bdmisc.dat
- %TEMP%\kcleaner\data\rcmdlocal.dat
- %TEMP%\kcleaner\ktrashud.dat
- %TEMP%\kcleaner\data\clearplugin\ksreng3.dll
- %TEMP%\kcleaner\data\kclearak.dat.d
- %TEMP%\kcleaner\switch.dat
- %TEMP%\kcleaner\data\kxesetting.dat
- %TEMP%\kcleaner\data\bootoptcfg.ini
- %TEMP%\kcleaner\kxetray.log
- %APPDATA%\kingsoft\is-31rkc.tmp
- %APPDATA%\kingsoft\is-ikbt6.tmp
- %TEMP%\kcleaner\security\kxescan\is-ednb6.tmp
- %TEMP%\kcleaner\security\kxescan\is-49gmr.tmp
- %TEMP%\kcleaner\security\kxescan\is-4hd91.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-cr6nh.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-79aal.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-0esbb.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-a74c4.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-r504o.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-cj9an.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-33ker.tmp
- %TEMP%\kcleaner\data\calendar\kcalendarsetting.ini
- %TEMP%\kcleaner\data\softicon\softicon48\is-c0db7.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-qirds.tmp
- %TEMP%\kcleaner\data\is-e53tc.tmp
- %TEMP%\kcleaner\data\is-vtb61.tmp
- %TEMP%\kcleaner\data\is-rv5ok.tmp
- %TEMP%\kcleaner\data\is-k03a0.tmp
- %TEMP%\kcleaner\data\is-18195.tmp
- %TEMP%\kcleaner\data\is-lb1ql.tmp
- %TEMP%\kcleaner\is-avl0d.tmp
- %TEMP%\kcleaner\is-grr20.tmp
- %TEMP%\kcleaner\is-145bc.tmp
- %TEMP%\kcleaner\is-5hmvm.tmp
- %TEMP%\kcleaner\is-r3a3j.tmp
- %TEMP%\kcleaner\data\is-fsrnb.tmp
- %TEMP%\kcleaner\is-fse5k.tmp
- %TEMP%\kcleaner\is-5m8i0.tmp
- %TEMP%\kcleaner\is-f2568.tmp
- %TEMP%\kcleaner\is-gucp5.tmp
- %TEMP%\kcleaner\is-obse0.tmp
- %TEMP%\kcleaner\is-8ojvq.tmp
- %TEMP%\kcleaner\is-tiahk.tmp
- %TEMP%\kcleaner\is-9fm4r.tmp
- %TEMP%\kcleaner\is-192gu.tmp
- %TEMP%\kcleaner\is-lp2rd.tmp
- %TEMP%\kcleaner\is-ovk2u.tmp
- %TEMP%\is-vf8le.tmp\<Имя файла>.tmp
- %TEMP%\kcleaner\is-ejfvs.tmp
- %TEMP%\kcleaner\data\is-il7jc.tmp
- %TEMP%\kcleaner\data\is-lpj2o.tmp
- %TEMP%\kcleaner\data\is-nf4vt.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-43rf0.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-67b0l.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-lctn1.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-060dc.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-s6r9s.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-tah51.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-93sat.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-17t1u.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-tnm5q.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-pthpk.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-4j5oe.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-q2sur.tmp
- %TEMP%\kcleaner\data\clearplugin\is-vr6cv.tmp
- %TEMP%\kcleaner\data\clearplugin\is-argjl.tmp
- %TEMP%\kcleaner\data\clearplugin\is-2tp3r.tmp
- %TEMP%\kcleaner\data\calendar\is-nqubb.tmp
- %TEMP%\kcleaner\data\is-jqgdm.tmp
- %TEMP%\kcleaner\data\is-dscsd.tmp
- %TEMP%\kcleaner\data\is-ebkld.tmp
- %TEMP%\kcleaner\data\is-tnc2l.tmp
- %TEMP%\kcleaner\data\is-8ukq5.tmp
- %TEMP%\kcleaner\data\is-r7bh3.tmp
- %TEMP%\kcleaner\data\is-1hnk1.tmp
- %TEMP%\kcleaner\data\is-rd28k.tmp
- %TEMP%\kcleaner\data\is-6i130.tmp
- %TEMP%\kcleaner\data\softicon\softicon48\is-8v7si.tmp
- %TEMP%\kcleaner\data\vulfixlocalconfig.ini
Присваивает атрибут 'скрытый' для следующих файлов
- D:\recycler\s-1-5-21-1229272821-842925246-1060284298-1003\desktop.ini
Удаляет следующие файлы
- %TEMP%\is-on83m.tmp\<Имя файла>.tmp
- %TEMP%\kcleaner\data\kclearak.dat.d
Перемещает следующие файлы
- %TEMP%\kcleaner\is-ovk2u.tmp в %TEMP%\kcleaner\kcleaner.dll
- %TEMP%\kcleaner\data\softicon\softicon48\is-o87tl.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000061.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-o5ech.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000057.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-rf945.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000056.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-anhuu.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000039.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-67rpb.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60047637.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-unkps.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60047501.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-v9vc8.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60045166.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-sfk6o.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60044347.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-qnb54.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60040408.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-69bnh.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000067.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-gba78.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60039769.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-knjv7.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60038242.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-88r47.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60005486.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-33ker.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60005485.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-c0db7.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60005482.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-8v7si.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60002917.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-qirds.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60002916.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-43rf0.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60001814.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-67b0l.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60001467.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-lctn1.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000404.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-s1dng.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60039558.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-n38mu.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000128.png
- %APPDATA%\kingsoft\is-ikbt6.tmp в %APPDATA%\kingsoft\netpayplog.ini
- %TEMP%\kcleaner\data\softicon\softicon48\is-c9r2q.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000078.png
- %TEMP%\kcleaner\security\kxescan\is-ednb6.tmp в %TEMP%\kcleaner\security\kxescan\kxesansp.dll
- %TEMP%\kcleaner\security\kxescan\is-49gmr.tmp в %TEMP%\kcleaner\security\kxescan\ksreng3.dll
- %TEMP%\kcleaner\security\kxescan\is-4hd91.tmp в %TEMP%\kcleaner\security\kxescan\config3a.dat
- %TEMP%\kcleaner\data\softicon\softicon48\is-cr6nh.tmp в %TEMP%\kcleaner\data\softicon\softicon48\91000004.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-79aal.tmp в %TEMP%\kcleaner\data\softicon\softicon48\91000003.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-0esbb.tmp в %TEMP%\kcleaner\data\softicon\softicon48\91000002.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-a74c4.tmp в %TEMP%\kcleaner\data\softicon\softicon48\91000001.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-r504o.tmp в %TEMP%\kcleaner\data\softicon\softicon48\81000003.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-cj9an.tmp в %TEMP%\kcleaner\data\softicon\softicon48\81000002.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-060dc.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000399.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-gqgmb.tmp в %TEMP%\kcleaner\data\softicon\softicon48\81000001.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-2o4t3.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000095.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-nlrmj.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000094.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-260q4.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000093.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-fjfmm.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000092.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-03asr.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000091.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-p5ndh.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000090.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-dilst.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000089.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-um6cl.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000088.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-14j48.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000087.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-sqre2.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000068.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-5b18v.tmp в %TEMP%\kcleaner\data\softicon\softicon48\61000071.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-s6r9s.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000234.png
- %TEMP%\kcleaner\data\is-fsrnb.tmp в %TEMP%\kcleaner\data\kcleanerselectallrisk.xml
- %TEMP%\kcleaner\data\is-rv5ok.tmp в %TEMP%\kcleaner\data\deepignorelist.dat
- %TEMP%\kcleaner\data\is-k03a0.tmp в %TEMP%\kcleaner\data\competing_pop_cloud_cfg.ini
- %TEMP%\kcleaner\data\is-18195.tmp в %TEMP%\kcleaner\data\cleanlist.dat
- %TEMP%\kcleaner\data\is-lb1ql.tmp в %TEMP%\kcleaner\data\bootoptcfg.ini
- %TEMP%\kcleaner\is-avl0d.tmp в %TEMP%\kcleaner\zlib1.dll
- %TEMP%\kcleaner\is-grr20.tmp в %TEMP%\kcleaner\switch.dat
- %TEMP%\kcleaner\is-145bc.tmp в %TEMP%\kcleaner\msvcr80.dll
- %TEMP%\kcleaner\is-5hmvm.tmp в %TEMP%\kcleaner\msvcp80.dll
- %TEMP%\kcleaner\is-r3a3j.tmp в %TEMP%\kcleaner\microsoft.vc80.mfc.manifest
- %TEMP%\kcleaner\data\is-vtb61.tmp в %TEMP%\kcleaner\data\floatwinsetting.ini
- %TEMP%\kcleaner\is-fse5k.tmp в %TEMP%\kcleaner\microsoft.vc80.crt.manifest
- %TEMP%\kcleaner\is-5m8i0.tmp в %TEMP%\kcleaner\ktrashud.dat
- %TEMP%\kcleaner\is-f2568.tmp в %TEMP%\kcleaner\ktrashscanex.dll
- %TEMP%\kcleaner\is-gucp5.tmp в %TEMP%\kcleaner\ktrashscan.dll
- %TEMP%\kcleaner\is-obse0.tmp в %TEMP%\kcleaner\kskinmgr.dll
- %TEMP%\kcleaner\is-8ojvq.tmp в %TEMP%\kcleaner\kscan.exe
- %TEMP%\kcleaner\is-tiahk.tmp в %TEMP%\kcleaner\kismain.exe
- %TEMP%\kcleaner\is-9fm4r.tmp в %TEMP%\kcleaner\kismain.dll
- %TEMP%\kcleaner\is-192gu.tmp в %TEMP%\kcleaner\kclearpanel.dll
- %TEMP%\kcleaner\is-lp2rd.tmp в %TEMP%\kcleaner\kcleaner.exe
- %TEMP%\kcleaner\is-ejfvs.tmp в %TEMP%\kcleaner\kxetray.exe
- %TEMP%\kcleaner\data\is-dscsd.tmp в %TEMP%\kcleaner\data\trashskip.dat
- %TEMP%\kcleaner\data\softicon\softicon48\is-93sat.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000116.png
- %TEMP%\kcleaner\data\is-il7jc.tmp в %TEMP%\kcleaner\data\kclearak.dat
- %TEMP%\kcleaner\data\softicon\softicon48\is-17t1u.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000057.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-tnm5q.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000047.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-pthpk.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000043.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-4j5oe.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000030.png
- %TEMP%\kcleaner\data\softicon\softicon48\is-q2sur.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000002.png
- %TEMP%\kcleaner\data\clearplugin\is-vr6cv.tmp в %TEMP%\kcleaner\data\clearplugin\plugin.nlb
- %TEMP%\kcleaner\data\clearplugin\is-argjl.tmp в %TEMP%\kcleaner\data\clearplugin\plugin.dat
- %TEMP%\kcleaner\data\clearplugin\is-2tp3r.tmp в %TEMP%\kcleaner\data\clearplugin\ksreng3.dll
- %TEMP%\kcleaner\data\calendar\is-nqubb.tmp в %TEMP%\kcleaner\data\calendar\kcalendarsetting.ini
- %TEMP%\kcleaner\data\softicon\softicon48\is-tah51.tmp в %TEMP%\kcleaner\data\softicon\softicon48\60000118.png
- %TEMP%\kcleaner\data\is-jqgdm.tmp в %TEMP%\kcleaner\data\trashtime.dat
- %TEMP%\kcleaner\data\is-ebkld.tmp в %TEMP%\kcleaner\data\trashign.dat
- %TEMP%\kcleaner\data\is-tnc2l.tmp в %TEMP%\kcleaner\data\ticket_cfg.ini
- %TEMP%\kcleaner\data\is-8ukq5.tmp в %TEMP%\kcleaner\data\strash.dat
- %TEMP%\kcleaner\data\is-r7bh3.tmp в %TEMP%\kcleaner\data\softicon.dat
- %TEMP%\kcleaner\data\is-1hnk1.tmp в %TEMP%\kcleaner\data\rcmdlocal.dat
- %TEMP%\kcleaner\data\is-rd28k.tmp в %TEMP%\kcleaner\data\popdata.ini
- %TEMP%\kcleaner\data\is-6i130.tmp в %TEMP%\kcleaner\data\kxesetting.dat
- %TEMP%\kcleaner\data\is-nf4vt.tmp в %TEMP%\kcleaner\data\ksofticondownloader.dat
- %TEMP%\kcleaner\data\is-lpj2o.tmp в %TEMP%\kcleaner\data\kclearusecfg.dat
- %TEMP%\kcleaner\data\is-e53tc.tmp в %TEMP%\kcleaner\data\kaccclear.dat
- %APPDATA%\kingsoft\is-31rkc.tmp в %APPDATA%\kingsoft\netpayprotect.ini
Подменяет следующие файлы
- %TEMP%\kcleaner\data\kclearak.dat.d
Сетевая активность
UDP
- DNS ASK dl.##inshan.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'kxetray{DF737DA7-CDCC-4e53-BE4F-96706694ED9F}'
- ClassName: 'kxetray_hiddenDpiAwarenessWindow' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-on83m.tmp\<Имя файла>.tmp' /SL5="$20011A,6362605,68608,<Полный путь к файлу>"
- '%TEMP%\is-vf8le.tmp\<Имя файла>.tmp' /SL5="$F00C4,6362605,68608,<Полный путь к файлу>" /VerySilent
- '%TEMP%\kcleaner\kcleaner.exe'
- '%TEMP%\kcleaner\kxetray.exe'
- '%TEMP%\kcleaner\kismain.exe' /lite_trash
- '%TEMP%\kcleaner\kxetray.exe' /kismain /lite_trash
- '<SYSTEM32>\taskkill.exe' /f /im UninstallTool.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im Tu.exe' (со скрытым окном)
- '%TEMP%\kcleaner\kismain.exe' /lite_trash' (со скрытым окном)
