Technical Information
To ensure autorun and distribution
Creates or modifies the following files
- <SYSTEM32>\tasks\uninstallmonitor
Modifies file system
Creates the following files
- %TEMP%\rarsfx0\coupons.bin
- %TEMP%\rarsfx0\reports\startup\suslinie.png
- %TEMP%\rarsfx0\reports\startup\susdr.png
- %TEMP%\rarsfx0\reports\startup\sigla2.png
- %TEMP%\rarsfx0\reports\startup\installed_startup_template.htm
- %TEMP%\rarsfx0\reports\startup\custom_image_old.jpg
- %TEMP%\rarsfx0\reports\startup\custom_image.jpg
- %TEMP%\rarsfx0\reports\services\suslinie.png
- %TEMP%\rarsfx0\reports\services\susdr.png
- %TEMP%\rarsfx0\reports\services\sigla2.png
- %TEMP%\rarsfx0\reports\services\installed_services_template.htm
- %TEMP%\rarsfx0\reports\services\custom_image_old.jpg
- %TEMP%\rarsfx0\reports\monitor\suslinie.png
- %TEMP%\rarsfx0\reports\uninstaller\custom_image_old.jpg
- %TEMP%\rarsfx0\reports\monitor\susdr.png
- %TEMP%\rarsfx0\reports\monitor\sigla2.png
- %TEMP%\rarsfx0\reports\monitor\registry.gif
- %TEMP%\rarsfx0\reports\monitor\one_table_two_rows_template.htm
- %TEMP%\rarsfx0\reports\monitor\one_table_template.htm
- %TEMP%\rarsfx0\reports\monitor\monitored_template_5.htm
- %TEMP%\rarsfx0\reports\monitor\monitored_template_4.htm
- %TEMP%\rarsfx0\reports\monitor\monitored_template_3.htm
- %TEMP%\rarsfx0\reports\monitor\monitored_template_2.htm
- %TEMP%\rarsfx0\reports\monitor\monitored_template_1.htm
- %TEMP%\rarsfx0\reports\services\custom_image.jpg
- %TEMP%\rarsfx0\uninstaller.rus.lng
- %TEMP%\rarsfx0\reports\uninstaller\installed_programs_template.htm
- %TEMP%\rarsfx0\adv_lib.exe
- %TEMP%\rarsfx0\servicesprofiles\profilesxp_sp2\sp2_safe.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp_sp2\sp2_pro.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp_sp2\sp2_power user.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp_sp2\sp2_home.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp_sp2\default.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_super tweak.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_safe.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_proxp.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_internet gateway.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_homexp.aup
- %TEMP%\rarsfx0\reports\monitor\monitored_template.htm
- %TEMP%\rarsfx0\reports\uninstaller\custom_image.jpg
- %TEMP%\rarsfx0\servicesprofiles\profilesvista\vista_power user.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesvista\vista_bare bones.aup
- %TEMP%\rarsfx0\servicesprofiles\profilesvista\default.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_super tweak.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_server.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_safe.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_pro.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_internet gateway.aup
- %TEMP%\rarsfx0\servicesprofiles\profiles2000\2000_gaming system.aup
- %TEMP%\rarsfx0\reports\uninstaller\suslinie.png
- %TEMP%\rarsfx0\reports\uninstaller\susdr.png
- %TEMP%\rarsfx0\servicesprofiles\profilesvista\vista_safe.aup
- %TEMP%\rarsfx0\reports\uninstaller\sigla2.png
- %TEMP%\rarsfx0\reports\monitor\monitored_report.htm
- %TEMP%\rarsfx0\reports\monitor\ini.gif
- %TEMP%\rarsfx0\reports\monitor\disk.gif
- %TEMP%\rarsfx0\healthcheck.trk.lng
- %TEMP%\rarsfx0\monitor.exe
- %TEMP%\rarsfx0\monitor.esn.lng
- %TEMP%\rarsfx0\monitor.deu.lng
- %TEMP%\rarsfx0\monitor.are.lng
- %TEMP%\rarsfx0\mon_run.exe
- %TEMP%\rarsfx0\memmgrset.dll
- %TEMP%\rarsfx0\loading_bar.avi
- %TEMP%\rarsfx0\loading_ajax.gif
- %TEMP%\rarsfx0\loading.gif
- %TEMP%\rarsfx0\loaderrunonce.exe
- %TEMP%\rarsfx0\checker.exe
- %TEMP%\rarsfx0\monitor.ntv.lng
- %TEMP%\rarsfx0\healthcheck.rus.lng
- %TEMP%\rarsfx0\healthcheck.plk.lng
- %TEMP%\rarsfx0\healthcheck.ntv.lng
- %TEMP%\rarsfx0\healthcheck.ita.lng
- %TEMP%\rarsfx0\healthcheck.exe
- %TEMP%\rarsfx0\healthcheck.esn.lng
- %TEMP%\rarsfx0\healthcheck.deu.lng
- %TEMP%\rarsfx0\healthcheck.are.lng
- %TEMP%\rarsfx0\explorer.exe
- %TEMP%\rarsfx0\entries2.dat
- %TEMP%\rarsfx0\entries1.dat
- %TEMP%\rarsfx0\innoupd.exe
- %TEMP%\rarsfx0\servicesprofiles\profilesxp\xp_gameri.aup
- %TEMP%\rarsfx0\monitor.plk.lng
- %TEMP%\rarsfx0\sqlite3.dll
- %TEMP%\rarsfx0\monitor.rus.lng
- %TEMP%\rarsfx0\reports\monitor\custom_image_old.jpg
- %TEMP%\rarsfx0\reports\monitor\custom_image.jpg
- %TEMP%\rarsfx0\reports\fonts\suslinie.png
- %TEMP%\rarsfx0\reports\fonts\susdr.png
- %TEMP%\rarsfx0\reports\fonts\sigla2.png
- %TEMP%\rarsfx0\reports\fonts\installed_fonts_template.htm
- %TEMP%\rarsfx0\reports\fonts\custom_image_old.jpg
- %TEMP%\rarsfx0\reports\fonts\custom_image.jpg
- %TEMP%\rarsfx0\readme\license.rtf
- %TEMP%\rarsfx0\readme\description.rtf
- %TEMP%\rarsfx0\monitor.trk.lng
- %TEMP%\rarsfx0\wtkpro.dll
- %TEMP%\rarsfx0\monitor.ita.lng
- %TEMP%\rarsfx0\uninstaller.plk.lng
- %TEMP%\rarsfx0\uninstaller.ntv.lng
- %TEMP%\rarsfx0\uninstaller.ita.lng
- %TEMP%\rarsfx0\uninstaller.exe
- %TEMP%\rarsfx0\uninstaller.esn.lng
- %TEMP%\rarsfx0\uninstaller.deu.lng
- %TEMP%\rarsfx0\uninstaller.are.lng
- %TEMP%\rarsfx0\unins000.exe
- %TEMP%\rarsfx0\unins000.dat
- %TEMP%\rarsfx0\stop_aup.exe
- %TEMP%\rarsfx0\uninstaller.trk.lng
- %TEMP%\rarsfx0\operation.log
Network activity
UDP
- DNS ASK ad#####duninstaller.com
- DNS ASK dh#.####nceduninstaller.com
Miscellaneous
Searches for the following windows
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'TForm2' WindowName: 'Uninstaller Monitor'
Creates and executes the following
- '%TEMP%\rarsfx0\uninstaller.exe'
- '%TEMP%\rarsfx0\uninstaller.exe' -AUSCAN
- '%TEMP%\rarsfx0\checker.exe' 600 -INNO
Executes the following
- '<SYSTEM32>\taskeng.exe' {D41D0755-9228-4157-9848-6CA6ED62523A} S-1-5-21-3691498038-2086406363-2140527554-1000:boylnic\user:Interactive:[1]
- '%TEMP%\rarsfx0\uninstaller.exe' -AUSCAN' (with hidden window)
