Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WiseFs] 'ImagePath' = '%WINDIR%\WiseFs32.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\WiseFs] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\fltMc.exe' load WiseFs
- '%TEMP%\WiseFolderHider.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Languages\Persian.ini
- %TEMP%\aut27.tmp
- %TEMP%\Languages\Polish.ini
- %TEMP%\aut26.tmp
- %TEMP%\Languages\Lithuanian.ini
- %TEMP%\aut25.tmp
- %TEMP%\Languages\Norwegian(Bokmal).ini
- %TEMP%\aut2A.tmp
- %TEMP%\Languages\Romanian.ini
- %TEMP%\aut2B.tmp
- %TEMP%\Languages\Portuguese(Portugal).ini
- %TEMP%\aut28.tmp
- %TEMP%\Languages\Portuguese(Brazil).ini
- %TEMP%\aut29.tmp
- %TEMP%\Languages\Italian.ini
- %TEMP%\aut20.tmp
- %TEMP%\Languages\Japanese.ini
- %TEMP%\aut1F.tmp
- %TEMP%\Languages\Hungarian.ini
- %TEMP%\aut1E.tmp
- %TEMP%\Languages\Indonesian.ini
- %TEMP%\aut23.tmp
- %TEMP%\Languages\Kurdish.ini
- %TEMP%\aut24.tmp
- %TEMP%\Languages\Kurdish(Kurmanci).ini
- %TEMP%\aut21.tmp
- %TEMP%\Languages\Korean.ini
- %TEMP%\aut22.tmp
- %TEMP%\Languages\Russian.ini
- %TEMP%\aut35.tmp
- %TEMP%\Languages\Ukrainian.ini
- %TEMP%\aut36.tmp
- %TEMP%\Languages\Turkish.ini
- %TEMP%\aut33.tmp
- %TEMP%\Languages\Thai.ini
- %TEMP%\aut34.tmp
- %TEMP%\Languages\Vietnamese.ini
- %TEMP%\FILE_S32.sys
- %WINDIR%\WiseFs32.sys
- %TEMP%\aut38.tmp
- %TEMP%\Languages\Urdu.ini
- %TEMP%\aut37.tmp
- %TEMP%\Languages\Uyghur.ini
- %TEMP%\aut2E.tmp
- %TEMP%\Languages\Slovenian.ini
- %TEMP%\aut2F.tmp
- %TEMP%\Languages\Slovak.ini
- %TEMP%\aut2C.tmp
- %TEMP%\Languages\Serbian.ini
- %TEMP%\aut2D.tmp
- %TEMP%\Languages\Swedish(Sweden).ini
- %TEMP%\aut32.tmp
- %TEMP%\Languages\Tajik.ini
- %TEMP%\aut31.tmp
- %TEMP%\Languages\Spanish(Bolivia).ini
- %TEMP%\aut30.tmp
- %TEMP%\Languages\Spanish(Spain).ini
- %TEMP%\autA.tmp
- %TEMP%\Languages\Arabic.ini
- %TEMP%\autB.tmp
- %TEMP%\WiseFolderHider.exe
- %TEMP%\aut8.tmp
- %TEMP%\WFHChecker.exe
- %TEMP%\aut9.tmp
- %TEMP%\Languages\Bengali(India).ini
- %TEMP%\autE.tmp
- %TEMP%\Languages\Bulgarian.ini
- %TEMP%\autD.tmp
- %TEMP%\Languages\Azeri(Latin).ini
- %TEMP%\autC.tmp
- %TEMP%\Languages\Belarusian.ini
- %TEMP%\aut3.tmp
- %TEMP%\License.txt
- %TEMP%\aut4.tmp
- %TEMP%\DManager.dll
- %TEMP%\aut1.tmp
- %TEMP%\Config.ini
- %TEMP%\aut2.tmp
- %TEMP%\unins000.exe
- %TEMP%\aut7.tmp
- %TEMP%\unins000.msg
- %TEMP%\aut6.tmp
- %TEMP%\removetask.exe
- %TEMP%\aut5.tmp
- %TEMP%\unins000.dat
- %TEMP%\autF.tmp
- %TEMP%\Languages\Finnish.ini
- %TEMP%\aut19.tmp
- %TEMP%\Languages\French.ini
- %TEMP%\aut18.tmp
- %TEMP%\Languages\English.ini
- %TEMP%\aut17.tmp
- %TEMP%\Languages\Estonian.ini
- %TEMP%\aut1C.tmp
- %TEMP%\Languages\Greek.ini
- %TEMP%\aut1D.tmp
- %TEMP%\Languages\German.ini
- %TEMP%\aut1A.tmp
- %TEMP%\Languages\Georgian.ini
- %TEMP%\aut1B.tmp
- %TEMP%\Languages\Chinese(Traditional).ini
- %TEMP%\aut12.tmp
- %TEMP%\Languages\Croatian.ini
- %TEMP%\aut11.tmp
- %TEMP%\Languages\Catalan.ini
- %TEMP%\aut10.tmp
- %TEMP%\Languages\Chinese(Simplified).ini
- %TEMP%\aut15.tmp
- %TEMP%\Languages\Dutch(Nederlands).ini
- %TEMP%\aut16.tmp
- %TEMP%\Languages\Danish.ini
- %TEMP%\aut13.tmp
- %TEMP%\Languages\Czech.ini
- %TEMP%\aut14.tmp
Удаляет следующие файлы:
- %TEMP%\aut26.tmp
- %TEMP%\aut25.tmp
- %TEMP%\aut24.tmp
- %TEMP%\aut27.tmp
- %TEMP%\aut2A.tmp
- %TEMP%\aut29.tmp
- %TEMP%\aut28.tmp
- %TEMP%\aut1F.tmp
- %TEMP%\aut1E.tmp
- %TEMP%\aut1D.tmp
- %TEMP%\aut20.tmp
- %TEMP%\aut23.tmp
- %TEMP%\aut22.tmp
- %TEMP%\aut21.tmp
- %TEMP%\aut34.tmp
- %TEMP%\aut33.tmp
- %TEMP%\aut32.tmp
- %TEMP%\aut35.tmp
- %TEMP%\aut38.tmp
- %TEMP%\aut37.tmp
- %TEMP%\aut36.tmp
- %TEMP%\aut2D.tmp
- %TEMP%\aut2C.tmp
- %TEMP%\aut2B.tmp
- %TEMP%\aut2E.tmp
- %TEMP%\aut31.tmp
- %TEMP%\aut30.tmp
- %TEMP%\aut2F.tmp
- %TEMP%\autA.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut8.tmp
- %TEMP%\autB.tmp
- %TEMP%\autE.tmp
- %TEMP%\autD.tmp
- %TEMP%\autC.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut18.tmp
- %TEMP%\aut17.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut1C.tmp
- %TEMP%\aut1B.tmp
- %TEMP%\aut1A.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut10.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut13.tmp
Сетевая активность:
Подключается к:
- 'www.wi###leaner.net':80
TCP:
Запросы HTTP GET:
- http://www.wi###leaner.net/wisecleaner_feedback/index.php?to#################################################################
UDP:
- DNS ASK www.wi###leaner.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'TFrmHFMain' WindowName: ''
