Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im lz.dll
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\mac1ac0.tmp
- C:\oytl\ñéö¤.bmp
- C:\oytl\ò©²ä.bmp
- C:\oytl\ГґВїВіГ—.bmp
- C:\oytl\òµ¹ù.bmp
- C:\oytl\ò½óã½ðõë.bmp
- C:\oytl\ГіГ±ГЈГ—ВїГєГЎВё.bmp
- C:\oytl\ö½õå.bmp
- C:\oytl\çà ìïê¯.bmp
- C:\oytl\×¢²á´ó䮲å¼þµ½ïµГВі.bat
- C:\oytl\×ï½ðºùâ«.bmp
- C:\oytl\×ø鵿úá¸.bmp
- C:\oytl\Г—ГёВ±ГЄ.bmp
- C:\oytl\õæ.bmp
- C:\oytl\ВґГІГ—Гё.bmp
- C:\oytl\bbd.bmp
- C:\oytl\lq1.bmp
- C:\oytl\slz.bmp
- C:\oytl\îïæ·ööà à .txt
- C:\oytl\×¢²áðååµ²å¼þµ½ïµГВі.bat
- C:\oytl\Г°ГГґВёГЁВЄ.bmp
- C:\oytl\ïâ×øæï.bmp
- C:\oytl\î嶾³æ.bmp
- C:\oytl\Гááéöé.bmp
- C:\oytl\¾æì³.bmp
- C:\oytl\ВїГіГЄВЇ.bmp
- C:\oytl\à äèªë®.bmp
- C:\oytl\à óö¦.bmp
- C:\oytl\ãïæå.bmp
- C:\oytl\ГЈГѕВІВј.bmp
- C:\oytl\椸ï.bmp
- C:\oytl\yxc.bmp
- C:\oytl\ç°öâèâ¿úá¸.bmp
- C:\oytl\»è³æ¿úá¸.bmp
- C:\oytl\ГЁГ«.bmp
- C:\oytl\é³²ï.bmp
- C:\oytl\éï×øæï.bmp
- C:\oytl\ê¯â¶ë®.bmp
- C:\oytl\ê±¹â»ú.bmp
- C:\oytl\ê°è¡.bmp
- C:\oytl\뮺ø.bmp
- C:\oytl\ìì³øë®.bmp
- C:\oytl\»ð¾æ.bmp
- C:\oytl\ìì壿úá¸.bmp
- C:\oytl\èú±ùë®.bmp
- C:\oytl\½ð³×.bmp
- C:\oytl\yxc1.bmp
- C:\oytl\yxc5.bmp
- C:\oytl\plug365ex.dll
- C:\oytl\¶ó³¤1.bmp
- C:\oytl\Г—ВўВІГЎ.bat
- C:\oytl\jddanet.dll
- C:\oytl\xyy.bmp
- C:\oytl\yxyw.bmp
- C:\oytl\bb.bmp
- C:\oytl\lz.dll
- C:\oytl\wndex6.dll
- C:\oytl\cel.bmp
- C:\oytl\dgrw.bmp
- C:\oytl\xinnuo.dll
- C:\oytl\zk.txt
- <Текущая директория>\plugin\plug365ex.ini
- <Текущая директория>\plugin\file.ini
- %WINDIR%\syswow64\fm20.dll
- C:\lezhong_config.ini
- %WINDIR%\syswow64\msinet.ocx
- C:\oytl\plug365.dll
- C:\oytl\plug365.ini
- C:\oytl\plug365ex.ini
- C:\oytl\В±ВЁВѕВЇ.mp3
- C:\oytl\jy1.bmp
- C:\oytl\yxc6.bmp
- C:\oytl\yxc7.bmp
- C:\oytl\df1.bmp
- C:\oytl\df3.bmp
- C:\oytl\jy2.bmp
- C:\oytl\xs2.bmp
- C:\oytl\ð¡²ù×ó.bmp
- C:\oytl\yxc2.bmp
- C:\oytl\yxc4.bmp
- C:\oytl\yxc3.bmp
- C:\oytl\·çóý.bmp
- C:\oytl\zf1.bmp
- C:\oytl\zf2.bmp
- C:\oytl\zf3.bmp
- C:\oytl\ðþ¹ê.bmp
- C:\oytl\½å±¾ê¹óãêö²á.txt
- C:\oytl\¶ó³¤.bmp
- C:\oytl\gs.bmp
- C:\oytl\îä·¿ë䱦.bmp
- C:\oytl\В№ВВјГЅ.bmp
- C:\oytl\ðþ¾§.bmp
- C:\oytl\»¨éú¿úá¸.bmp
- C:\oytl\»¢¹ç.bmp
- C:\oytl\ºóöâèâ¿úá¸.bmp
- %APPDATA%\qmacro\shield\sd002.dat
- %APPDATA%\qmacro\shield\sd003.dat
- %APPDATA%\qmacro\shield\sd004.dat
- %APPDATA%\qmacro\shield\shield.ini
- C:\oytl\boss.bmp
- C:\oytl\btxd.bmp
- C:\oytl\cljg.bmp
- <PATH_SAMPLE>.ini
- <Текущая директория>\radiobox_disabled_unchecked.ico
- C:\oytl\cn1.bmp
- C:\oytl\cn3.bmp
- <Текущая директория>\checkbox_checked.ico
- <Текущая директория>\checkbox_unchecked.ico
- <Текущая директория>\checkbox_disabled_checked.ico
- <Текущая директория>\checkbox_disabled_unchecked.ico
- <Текущая директория>\radiobox_checked.ico
- <Текущая директория>\radiobox_unchecked.ico
- %TEMP%\0922794.tmp
- %APPDATA%\mymacro\qdisp.dll
- %APPDATA%\qmacro\shield\sd001.dat
- <Текущая директория>\shieldmodule.dat
- <Текущая директория>\cfgdll.dll
- %TEMP%\1ad1.tmp
- %TEMP%\1d43.tmp
- %TEMP%\1e0f.tmp
- %TEMP%\1e7d.tmp
- %TEMP%\1e8d.tmp
- %TEMP%\1f1b.tmp
- %TEMP%\plugin.zip
- <Текущая директория>\plugin\regdll.dll
- <Текущая директория>\radiobox_disabled_checked.ico
- <Текущая директория>\plugin\media.dll
- C:\oytl\cn2.bmp
- <Текущая директория>\plugin\xinnuo.dll
- <Текущая директория>\plugin\plug365ex.dll
- <Текущая директория>\plugin\file.dll
- <Текущая директория>\plugin\sys.dll
- <Текущая директория>\plugin\bkgnd.dll
- %TEMP%\mymacro.zip
- %TEMP%\ad-mymacro9.xml
- %TEMP%\adcon\mm\tmpad.xml
- <Текущая директория>\plugin\msg.dll
- %TEMP%\1d23.tmp
- <Текущая директория>\plugin\web.dll
- %APPDATA%\qmacro\shield\sd000.dat
- C:\oytl\df2.bmp
- C:\oytl\xsj.bmp
- C:\oytl\xsrw.bmp
- C:\oytl\xx.bmp
- C:\oytl\²é¼¯.bmp
- C:\oytl\ВІГёВ±В¦ГВј.bmp
- C:\oytl\ВіГўВґГ—.bmp
- C:\oytl\³çêð.bmp
- C:\oytl\´óé¨öã.bmp
- C:\oytl\xj.bmp
- C:\oytl\df4.bmp
- %TEMP%\ad-mymacro9.xml.tmp
- C:\oytl\µà .bmp
- C:\oytl\¶ýë¿.bmp
- C:\oytl\ВёВ±В±Вѕ.bmp
- C:\oytl\¸êà ¶¿úá¸.bmp
- C:\oytl\¹ò»ú.bmp
- C:\oytl\В№Г№.bmp
- C:\oytl\В№Гј.bmp
- C:\oytl\ºóò»ò³.bmp
- C:\oytl\µ¾²ýèë.bmp
- C:\oytl\µêæì.bmp
- C:\oytl\¶ëáòïéâ¶.bmp
- C:\oytl\dgbb.bmp
- %WINDIR%\syswow64\fm20chs.dll
- C:\oytl\wlhd.bmp
- C:\oytl\f1.bmp
- C:\oytl\f10.bmp
- C:\oytl\fz.bmp
- C:\oytl\gjgs.bmp
- C:\oytl\gjxb.bmp
- C:\oytl\gjxj.bmp
- C:\oytl\glw.bmp
- C:\oytl\gw.bmp
- C:\oytl\xb.bmp
- C:\oytl\xdwl.bmp
- C:\oytl\jcy.bmp
- <Текущая директория>\timer_icon.ico
- C:\oytl\kl.bmp
- C:\oytl\lhly.bmp
- C:\oytl\px.bmp
- C:\oytl\qd.bmp
- C:\oytl\regdll.dll
- C:\oytl\smcj.ini
- C:\oytl\tlcj.ini
- C:\oytl\dm.dll
- C:\oytl\jy3.bmp
- <Текущая директория>\plugin\msg.ini
Удаляет следующие файлы
- %TEMP%\plugin.zip
- %TEMP%\mymacro.zip
- %TEMP%\adcon\mm\tmpad.xml
- <Текущая директория>\shieldmodule.dat
- <Текущая директория>\checkbox_checked.ico
- <Текущая директория>\checkbox_unchecked.ico
- <Текущая директория>\checkbox_disabled_checked.ico
- <Текущая директория>\checkbox_disabled_unchecked.ico
- <Текущая директория>\radiobox_checked.ico
- <Текущая директория>\radiobox_unchecked.ico
- <Текущая директория>\radiobox_disabled_checked.ico
- <Текущая директория>\radiobox_disabled_unchecked.ico
- <Текущая директория>\timer_icon.ico
Перемещает следующие файлы
- %TEMP%\ad-mymacro9.xml.tmp в %TEMP%\ad-mymacro9.xml
Сетевая активность
Подключается к
- 'public-trust.com':80
TCP
Запросы HTTP GET
- http://ad.###rothers.com/qmacro/v9/ad-mymacro.xml
- http://do##.#rbrothers.com/qmacro/up_mymacro/liveupdate8.dat
- http://hi.###rothers.com/xjl/mmcount.aspx?mm#####################################################################################################################################################...
- http://ad.###rothers.com/qmacro/ad-mymacro8-p.htm
- http://ad.###rothers.com/qmacro/ad-mymacro8-n.htm
- http://ad.###rothers.com/qmacro/ad-mymacro8-b.htm
- http://s.##bew.com/k.js
- http://hm.##idu.com/hm.js?9f##############################
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK ad.###rothers.com
- DNS ASK do##.#rbrothers.com
- DNS ASK hi.###rothers.com
- DNS ASK dr#####t528.246pk.com
- DNS ASK s.##bew.com
- DNS ASK pa#.#aidu.com
- DNS ASK im#.#sers.51.la
- DNS ASK hm.##idu.com
- DNS ASK microsoft.com
- DNS ASK public-trust.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'C:\oytl\lz.dll'
- '%WINDIR%\syswow64\regsvr32.exe' FM20.DLL /s' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' MSINET.OCX /s' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' FM20CHS.DLL /s' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im lz.dll' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' FM20.DLL /s
- '%WINDIR%\syswow64\regsvr32.exe' MSINET.OCX /s
- '%WINDIR%\syswow64\regsvr32.exe' FM20CHS.DLL /s
