Trojan.KeyLogger.16729

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\jdyou\shell\open\command] '' = '"%TEMP%\RarSFX0\bin\Play.exe" %1'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение:

%TEMP%\RarSFX0\59ie_b.dat
%TEMP%\RarSFX0\bin\Play.exe
%WINDIR%\snss.exe "%TEMP%\RarSFX0\Z88.exe"
%TEMP%\RarSFX0\23.exe
%TEMP%\RarSFX0\Z88.exe
%TEMP%\RarSFX0\59ie_m.dat

Запускает на исполнение:

<SYSTEM32>\wscript.exe "%TEMP%\RarSFX0\1.vbs"

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %TEMP%\bday.dll

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jinchenggl.bmp
%TEMP%\RarSFX0\bbx.ini
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\gifpingmlx.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jinchenggl_on.bmp
%TEMP%\RarSFX0\-Є¦е---ж¦ф.exe
%TEMP%\RarSFX0\bin\Qmacrone.ini
%TEMP%\temp01.dll
%WINDIR%\snss.exe
%TEMP%\RarSFX0\bin\version.ini
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\gifpingmlx_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\biansujl.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\anjianjl_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\rubbishclear.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\biansujl_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\anjianjl.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\booktool_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\booktool.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\huoxingwensrf_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\huoxingwensrf.bmp
%TEMP%\temp02.dll
%TEMP%\RarSFX0\bin\plugin\Pic.dll
%TEMP%\RarSFX0\bin\plugin\Sys.dll
%TEMP%\RarSFX0\bin\plugin\Net.dll
%TEMP%\RarSFX0\bin\plugin\Office.dll
%TEMP%\RarSFX0\bin\plugin\Web.dll
%TEMP%\bday.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\DLZD1[1].aspx
%TEMP%\RarSFX0\bin\plugin\Window.dll
%WINDIR%\rcpnqor.dll
%TEMP%\RarSFX0\bin\plugin\Msg.dll
%TEMP%\RarSFX0\bin\plugin\Color.dll
%TEMP%\RarSFX0\bin\plugin\Console.dll
%TEMP%\RarSFX0\bin\plugin\Bkgnd.dll
%TEMP%\RarSFX0\bin\plugin\BkgndColor.dll
%TEMP%\RarSFX0\bin\plugin\Encrypt.dll
%TEMP%\RarSFX0\bin\plugin\Media.dll
%TEMP%\RarSFX0\bin\plugin\Memory.dll
%TEMP%\RarSFX0\bin\plugin\File.dll
%TEMP%\RarSFX0\bin\plugin\GetSysInfo.dll
%TEMP%\RarSFX0\bin\COMCTL32.ocx
%TEMP%\RarSFX0\bin\TABCTL32.OCX
%TEMP%\RarSFX0\bin\Play.exe
%TEMP%\RarSFX0\bin\pearc.dll
%TEMP%\RarSFX0\BBXTools\GameSelect.html
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\tools_default_hover.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\tools_default_click.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\skin.ini
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\bbxbanner.bmp
%TEMP%\RarSFX0\bin\exit.exe
%TEMP%\RarSFX0\1.vbs
%TEMP%\RarSFX0\59ie_b.dat
%TEMP%\RarSFX0\Z88.exe
%TEMP%\RarSFX0\23.exe
%TEMP%\RarSFX0\59ie_m.dat
%TEMP%\RarSFX0\bin\必读！简单游使用说明.txt
%TEMP%\RarSFX0\bin\login_web.dat
%TEMP%\RarSFX0\qmacrone.ini
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\tools_default_normal.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\weishi_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\weishi.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\theworld_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\theworld.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jdyou_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\neicunyh.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\rubbishclear_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jdyou.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\neicunyh_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\zhuomian.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jianpan_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\jianpan.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\shubiao_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\shubiao.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\naozhong_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\guanji.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\zhuomian_on.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\naozhong.bmp
%TEMP%\RarSFX0\BBXTools\skin\bbxskin\guanji_on.bmp