Trojan.DownLoader23.6099

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\WiseRegNotify] 'ImagePath' = '%WINDIR%\WiseRegNotify.sys'

Вредоносные функции:

Запускает на исполнение:

'%TEMP%\RarSFX0\WiseTray.exe'
'%TEMP%\RarSFX0\WiseCare365.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\Languages\Portuguese(Brazil).ini
%TEMP%\RarSFX0\Languages\Polish.ini
%TEMP%\RarSFX0\Languages\Romanian.ini
%TEMP%\RarSFX0\Languages\Portuguese(Portugal).ini
%TEMP%\RarSFX0\Languages\Nepali.ini
%TEMP%\RarSFX0\Languages\Korean.ini
%TEMP%\RarSFX0\Languages\Norwegian(Nynorsk).ini
%TEMP%\RarSFX0\Languages\Norwegian(Bokmal).ini
%TEMP%\RarSFX0\Languages\Thai.ini
%TEMP%\RarSFX0\Languages\Spanish(Spain).ini
%TEMP%\RarSFX0\Themes\default.wskn
%TEMP%\RarSFX0\Languages\Turkish.ini
%TEMP%\RarSFX0\Languages\Serbian(Cyrillic).ini
%TEMP%\RarSFX0\Languages\Russian.ini
%TEMP%\RarSFX0\Languages\Slovenian.ini
%TEMP%\RarSFX0\Languages\Slovak.ini
%TEMP%\RarSFX0\Languages\Danish.ini
%TEMP%\RarSFX0\Languages\Czech.ini
%TEMP%\RarSFX0\Languages\English.ini
%TEMP%\RarSFX0\Languages\Dutch(Nederlands).ini
%TEMP%\RarSFX0\Languages\Catalan.ini
%TEMP%\RarSFX0\Languages\Azerbaijan(Latin).ini
%TEMP%\RarSFX0\Languages\Chinese(Traditional).ini
%TEMP%\RarSFX0\Languages\Chinese(Simplified).ini
%TEMP%\RarSFX0\Languages\Indonesian.ini
%TEMP%\RarSFX0\Languages\Hungarian.ini
%TEMP%\RarSFX0\Languages\Japanese.ini
%TEMP%\RarSFX0\Languages\Italian.ini
%TEMP%\RarSFX0\Languages\French.ini
%TEMP%\RarSFX0\Languages\Finnish.ini
%TEMP%\RarSFX0\Languages\Greek.ini
%TEMP%\RarSFX0\Languages\German.ini
%TEMP%\RarSFX0\Themes\halloween-2016.png
%TEMP%\RarSFX0\geo.db
%TEMP%\RarSFX0\fileshredder.ico
%TEMP%\RarSFX0\License.txt
%TEMP%\RarSFX0\keygen.exe
%TEMP%\RarSFX0\config.ini
%TEMP%\RarSFX0\BootTime.exe
%TEMP%\RarSFX0\DManager.dll
%TEMP%\RarSFX0\DefragOptions.ini
%WINDIR%\WiseRegNotify.sys
%TEMP%\REG_FW32.sys
%TEMP%\RarSFX0\config_tray.ini
%TEMP%\fuvgeyfz.ini
%TEMP%\RarSFX0\Readme.txt
%TEMP%\RarSFX0\Rate.info
%TEMP%\RarSFX0\skin.ico
%TEMP%\RarSFX0\Register.reg
%TEMP%\RarSFX0\tools\img\Hotkey.png
%TEMP%\RarSFX0\tools\img\ForceDeleter.png
%TEMP%\RarSFX0\tools\img\MemoryOptimizer.png
%TEMP%\RarSFX0\tools\img\JetSearch.png
%TEMP%\RarSFX0\tools\img\AutoShutdown.png
%TEMP%\RarSFX0\Themes\halloween-2016.wskn
%TEMP%\RarSFX0\tools\img\FolderHider.png
%TEMP%\RarSFX0\tools\img\DateRecovery.png
%TEMP%\RarSFX0\AutoUpdate.exe
%TEMP%\RarSFX0\UpdateInfo\UpdateInfo.txt
%TEMP%\RarSFX0\BootPack.wpk
%TEMP%\RarSFX0\BootLauncher.exe
%TEMP%\RarSFX0\tools\img\SystemMonitor.png
%TEMP%\RarSFX0\tools\img\ProgramUninstaller.png
%TEMP%\RarSFX0\UpdateInfo\121030760.png
%TEMP%\RarSFX0\tools\toolsv3.txt
%TEMP%\RarSFX0\headers\j8.png
%TEMP%\RarSFX0\headers\d4.png
%TEMP%\RarSFX0\headers\d3.png
%TEMP%\RarSFX0\headers\e7.png
%TEMP%\RarSFX0\headers\d7.png
%TEMP%\RarSFX0\headers\c7.png
%TEMP%\RarSFX0\headers\c4.png
%TEMP%\RarSFX0\headers\d2.png
%TEMP%\RarSFX0\headers\d1.png
%TEMP%\RarSFX0\headers\f3.png
%TEMP%\RarSFX0\headers\f2.png
%TEMP%\RarSFX0\headers\f5.png
%TEMP%\RarSFX0\headers\f4.png
%TEMP%\RarSFX0\headers\e9.png
%TEMP%\RarSFX0\headers\e8.png
%TEMP%\RarSFX0\headers\f1.png
%TEMP%\RarSFX0\headers\f0.png
%TEMP%\RarSFX0\WiseCare365_Loader.exe
%TEMP%\RarSFX0\WiseCare365.exe
%TEMP%\RarSFX0\WiseEraser.dll
%TEMP%\RarSFX0\WiseDefrag.dll
%TEMP%\RarSFX0\toolsv3.txt
%TEMP%\RarSFX0\sqlite3.dll
%TEMP%\RarSFX0\WiseBootBooster.exe
%TEMP%\RarSFX0\UninstallTP.exe
%TEMP%\RarSFX0\headers\a7.png
%TEMP%\RarSFX0\headers\a6.png
%TEMP%\RarSFX0\headers\b5.png
%TEMP%\RarSFX0\headers\a9.png
%TEMP%\RarSFX0\WiseTurbo.exe
%TEMP%\RarSFX0\WiseTray.exe
%TEMP%\RarSFX0\headers\a2.png
%TEMP%\RarSFX0\headers\a1.png
%TEMP%\RarSFX0\headers\f6.png
%TEMP%\RarSFX0\headers\i5.png
%TEMP%\RarSFX0\headers\i4.png
%TEMP%\RarSFX0\headers\i7.png
%TEMP%\RarSFX0\headers\i6.png
%TEMP%\RarSFX0\headers\i1.png
%TEMP%\RarSFX0\headers\h8.png
%TEMP%\RarSFX0\headers\i3.png
%TEMP%\RarSFX0\headers\i2.png
%TEMP%\RarSFX0\headers\j4.png
%TEMP%\RarSFX0\headers\j3.png
%TEMP%\RarSFX0\headers\j7.png
%TEMP%\RarSFX0\headers\j6.png
%TEMP%\RarSFX0\headers\j.png
%TEMP%\RarSFX0\headers\i8.png
%TEMP%\RarSFX0\headers\j1.png
%TEMP%\RarSFX0\headers\j0.png
%TEMP%\RarSFX0\headers\g5.png
%TEMP%\RarSFX0\headers\g4.png
%TEMP%\RarSFX0\headers\g7.png
%TEMP%\RarSFX0\headers\g6.png
%TEMP%\RarSFX0\headers\g1.png
%TEMP%\RarSFX0\headers\f7.png
%TEMP%\RarSFX0\headers\g3.png
%TEMP%\RarSFX0\headers\g2.png
%TEMP%\RarSFX0\headers\h5.png
%TEMP%\RarSFX0\headers\h4.png
%TEMP%\RarSFX0\headers\h7.png
%TEMP%\RarSFX0\headers\h6.png
%TEMP%\RarSFX0\headers\h1.png
%TEMP%\RarSFX0\headers\g8.png
%TEMP%\RarSFX0\headers\h3.png
%TEMP%\RarSFX0\headers\h2.png

Удаляет следующие файлы:

%TEMP%\fuvgeyfz.ini

Сетевая активность:

Подключается к:

'www.eu##k.com':80
'www.wi###leaner.com':80
'in##.##secleaner.com':80
'www.wi###leaner.net':80

TCP:

Запросы HTTP GET:

http://www.eu##k.com/interface.php?to#######
http://www.wi###leaner.com/news/w365info.htm
http://in##.##secleaner.com/ad/ad1.php?na###########################################
http://www.wi###leaner.net/wisecleaner_feedback/index.php?to#################################################################

UDP: