Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\Clean System Memory.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' /S __IRAOFF:1738602 "__IRAFN:%TEMP%\RarSFX0\_setup.exe" "__IRCT:3" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%TEMP%\RarSFX0\_setup.exe' /S
- '%TEMP%\RarSFX0\WinborgXP-App-Installer.exe'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /change /tn "Clean System Memory" /ru "System"
- '<SYSTEM32>\schtasks.exe' /create /xml "Clean System Memory 32.xml" /tn "Clean System Memory"
- '<SYSTEM32>\cmd.exe' /c ""%PROGRAM_FILES%\CleanMem\Install_32bit_OS.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\CleanMem\bars\bar03.jpg
- %PROGRAM_FILES%\CleanMem\bars\bar02.jpg
- %PROGRAM_FILES%\CleanMem\bars\bar01.jpg
- %PROGRAM_FILES%\CleanMem\Clean System Memory 32.xml
- %PROGRAM_FILES%\CleanMem\pcwintech_tabs.ocx
- %PROGRAM_FILES%\CleanMem\bars\bar04.gif
- %PROGRAM_FILES%\CleanMem\CleanMem.ini
- %PROGRAM_FILES%\CleanMem\mini_monitor_settings.ini
- %PROGRAM_FILES%\CleanMem\mini_monitor_set_startup.manifest
- %PROGRAM_FILES%\CleanMem\msinet.ocx
- %PROGRAM_FILES%\CleanMem\MSCOMCTL.OCX
- %PROGRAM_FILES%\CleanMem\CleanMem_Settings.exe
- %PROGRAM_FILES%\CleanMem\Clean System Memory 64.xml
- %PROGRAM_FILES%\CleanMem\Uninstall\IRIMG2.JPG
- %PROGRAM_FILES%\CleanMem\Uninstall\IRIMG1.JPG
- %HOMEPATH%\Start Menu\Programs\CleanMem\CleanMem Settings.lnk
- <SYSTEM32>\CleanMem.ini
- <SYSTEM32>\CleanMem.exe
- %HOMEPATH%\Start Menu\Programs\CleanMem\Uninstall CleanMem.lnk
- %PROGRAM_FILES%\CleanMem\bars\bar03_compact.jpg
- %PROGRAM_FILES%\CleanMem\bars\bar02_compact.jpg
- %PROGRAM_FILES%\CleanMem\bars\bar01_compact.jpg
- %HOMEPATH%\Start Menu\Programs\CleanMem\CleanMem Mini Monitor.lnk
- %HOMEPATH%\Start Menu\Programs\CleanMem\Readme.lnk
- %PROGRAM_FILES%\CleanMem\bars\bar04_compact.gif
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %PROGRAM_FILES%\CleanMem\Uninstall\uninstall.dat
- %PROGRAM_FILES%\CleanMem\Uninstall\uni1.tmp
- %WINDIR%\CleanMem Setup Log.txt
- %TEMP%\RarSFX0\WinborgXP-App-Installer.au3
- %TEMP%\RarSFX0\WinborgXP-App-Installer.exe
- %TEMP%\RarSFX0\_setup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\RarSFX0\icon.ico
- %WINDIR%\CleanMem\uninstall.exe
- %PROGRAM_FILES%\CleanMem\Clean System Memory 64bit.job
- %PROGRAM_FILES%\CleanMem\Clean System Memory 32bit.job
- %PROGRAM_FILES%\CleanMem\Install_64bit_OS.bat
- %PROGRAM_FILES%\CleanMem\mini_monitor_set_startup.exe
- %PROGRAM_FILES%\CleanMem\Mini_Monitor.exe
- %PROGRAM_FILES%\CleanMem\schtasks.exe
- %PROGRAM_FILES%\CleanMem\CleanMem.exe
- %PROGRAM_FILES%\CleanMem\Uninstall\uninstall.xml
- %WINDIR%\CleanMem\lua5.1.dll
- %PROGRAM_FILES%\CleanMem\Install_32bit_OS.bat
- %PROGRAM_FILES%\CleanMem\Uninstall.bat
- %PROGRAM_FILES%\CleanMem\Readme.txt
Удаляет следующие файлы:
- %TEMP%\RarSFX0\icon.ico
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\RarSFX0\WinborgXP-App-Installer.au3
- %TEMP%\RarSFX0\_setup.exe
- %TEMP%\RarSFX0\WinborgXP-App-Installer.exe
- %PROGRAM_FILES%\CleanMem\Uninstall\uni1.tmp
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
