Trojan.DownLoader4.17589

Техническая информация

Вредоносные функции:

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll

Изменения в файловой системе:

Создает следующие файлы:

C:\HxsjData\РРЙМµк¶Ф»°.bmp
C:\HxsjData\Ѕ»ЙМЖ±.bmp
C:\HxsjData\ОпЖ·Аё.bmp
C:\HxsjData\¶Ф»°їт.bmp
C:\HxsjData\ЕЬЙМNPC.bmp
C:\HxsjData\ПµНіІЛµҐ.bmp
C:\HxsjData\ЕЬЙМЅбКшЕР¶П.bmp
C:\HxsjData\ЧФ¶ЇЧЯВ·.bmp
C:\HxsjData\јМРшС°В·.bmp
C:\HxsjData\ЗРНјЕР¶П.bmp
C:\HxsjData\Чй¶УЕР¶П.bmp
%WINDIR%\dttime.txt
%WINDIR%\hXSJDM.txt
%WINDIR%\TzGuard.dll
%WINDIR%\MSG.DLL
%WINDIR%\SYS.DLL
C:\HxsjData\µШНјАё.bmp
C:\HxsjData\ЦОБЖ.bmp
C:\HxsjData\ЛАНцЕР¶П.bmp
%WINDIR%\hxsjwupin.txt
C:\HxsjData\СйЦ¤ЕР¶П.bmp
C:\HxsjData\4.bmp
C:\HxsjData\5.bmp
C:\HxsjData\3.bmp
C:\HxsjData\1.bmp
C:\HxsjData\2.bmp
C:\HxsjData\РРЙМµк.bmp
C:\HxsjData\µюјУЕР¶П.bmp
C:\HxsjData\±дТм№Ц.bmp
C:\HxsjData\°ьВъЕР¶П.bmp
C:\HxsjData\ТЅК¦.bmp
C:\HxsjData\6.bmp
C:\HxsjData\ЙМ±ТО»ЦГ.bmp
C:\HxsjData\ТюІШНжјТ.bmp
C:\HxsjData\јЫёсµНЕР¶П.bmp
C:\HxsjData\ЙМЖ±2.bmp
C:\HxsjData\ЙМЖ±0.bmp
C:\HxsjData\јМРшС°В·1.bmp
C:\HxsjData\ИООсЅшіМ.bmp
C:\HxsjData\Ѕ»ЙМЖ±1.bmp
C:\HxsjData\ЙМЖ±1.bmp
C:\HxsjData\ЦОБЖ1.bmp
%WINDIR%\MEDIA.DLL
%TEMP%\background.bmp
%TEMP%\ad-mymacro8.xml
%TEMP%\mymacro.zip
<Текущая директория>\plugin\FILE.DLL
<Текущая директория>\plugin\MSG.DLL
%TEMP%\13.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ad-mymacro[1].xml
<Текущая директория>\cfgdll.dll
%TEMP%\adcon\mm\tmpad.xml
%APPDATA%\qmacro\qdisp.dll
<Текущая директория>\plugin\SYS.DLL
<Текущая директория>\plugin\MEDIA.DLL
<Текущая директория>\plugin\BKGND.DLL
%TEMP%\plugin.zip
%TEMP%\1.tmp
%TEMP%\2.tmp
<Текущая директория>\plugin\BG.DLL
<Текущая директория>\plugin\DM.DLL
<Текущая директория>\plugin\TZ_DT.DLL
<Текущая директория>\plugin\WINDOW.DLL
<Текущая директория>\plugin\KSREGCOM.DLL
%WINDIR%\tz_dt.dll
%WINDIR%\tz.dll
%WINDIR%\BG.dll
<Текущая директория>\plugin\MEDIA.ini
C:\ringin.wav
%WINDIR%\BKGND.DLL
%WINDIR%\FILE.DLL
%WINDIR%\WINDOW.DLL
%WINDIR%\dm.dll
%WINDIR%\ksregcom.dll
<Текущая директория>\plugin\BKGND.ini
<Текущая директория>\plugin\FILE.ini
<Текущая директория>\plugin\SYS.ini
%APPDATA%\qmacro\ocx\1\SetupOCXFile
%TEMP%\ad-mymacro8.xml.tmp
%TEMP%\14.tmp
<Текущая директория>\plugin\BG.ini
<Текущая директория>\plugin\TZ_DT.ini
<Текущая директория>\plugin\WINDOW.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\mmcount[1].aspx
<Текущая директория>\plugin\MSG.ini

Удаляет следующие файлы:

%TEMP%\adcon\mm\tmpad.xml
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\mmcount[1].aspx
%TEMP%\plugin.zip
%TEMP%\mymacro.zip

Сетевая активность:

Подключается к:

'hi.###rothers.com':80
'ad.###rothers.com':80
'localhost':1035

TCP:

Запросы HTTP GET:

hi.###rothers.com/xjl/mmcount.aspx?mm###########################################################################################################################################################################################################
ad.###rothers.com/qmacro/v8/ad-mymacro.xml

UDP: