Trojan.Siggen19.60469

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ad-mymacro9.xml
C:\n1\wglogin_3.bmp
C:\n1\bs_dating_2.bmp
C:\n1\btn_lq1.bmp
C:\n1\btn_lq2.bmp
C:\n1\bs_ing.bmp
C:\n1\login_tgyy2.bmp
C:\n1\login_tgyy1.bmp
C:\n1\bs_dating_5.bmp
C:\n1\bs_dating_4.bmp
C:\n1\bs_dating_3.bmp
C:\n1\bs_txqd3.bmp
C:\n1\wglogin_0.bmp
C:\n1\bs_txqd2.bmp
C:\n1\wc3s.bmp
C:\n1\login_tg.bmp
C:\n1\bs_ing_1.bmp
C:\n1\login_errorx.bmp
C:\n1\bs_3rd1.bmp
C:\n1\bs_3rd2.bmp
C:\n1\bs_dating_1.bmp
C:\n1\bs_wincloes.bmp
C:\n1\bs_txqd.bmp
C:\n1\bs_3rd.bmp
C:\n1\bs_wfqd_x.bmp
C:\n1\bs_dating_0.bmp
C:\n1\bs_wfqd_s.bmp
C:\n1\wglogin_2.bmp
%APPDATA%\mymacro\plugin\file.ini
C:\n1\zh\zh_12.txt
C:\n1\zh\zh_11.txt
C:\n1\zh\ГЁГ«Г®ГЇГВ¶Г ВєВ°ГјВ¶ГґГіВ¦ВІГ®ВїВјГ±ГіВіГ№В±Г.txt
C:\n1\zh\zh_7.txt
C:\n1\zh\zh_9.txt
C:\n1\zh\zh_8.txt
C:\n1\zh\zh_2.txt
C:\n1\zh\zh_1.txt
C:\n1\zh\zh_6.txt
C:\n1\zh\zh_5.txt
C:\n1\zh\zh_4.txt
C:\n1\dl_xz1.bmp
C:\n1\login_2k1logo.bmp
C:\n1\bs_ing2.bmp
C:\n1\dm_w10.dll
C:\n1\yztp_2.bmp
C:\n1\yztp_1.bmp
C:\n1\dl_close_1.bmp
C:\n1\dl_xz3.bmp
C:\n1\dl_xz4.bmp
C:\n1\bs_dating_11.bmp
C:\n1\bs_dating_12.bmp
C:\n1\dm_w7.dll
C:\n1\dl_xz2.bmp
C:\n1\zh\zh_3.txt
C:\n1\an_d.bmp
C:\n1\an_a.bmp
C:\n1\an_s1.bmp
%ALLUSERSPROFILE%\boost_interprocess_qm\kqmad7o6fha0
%APPDATA%\mymacro\qdisp.dll
%APPDATA%\mymacro\cfgdll.dll
%TEMP%\qmlog\20230228.log
%APPDATA%\mymacro\binding.exe
%APPDATA%\mymacro\mt.exe
%TEMP%\mt.zip
%APPDATA%\mymacro\runner.exe
%TEMP%\runner.zip
%APPDATA%\mymacro\rkey.dat
%ALLUSERSPROFILE%\boost_interprocess_qm\rcyla8395pnt
%TEMP%\rkey.zip
%TEMP%\mymacro.zip
%APPDATA%\mymacro\plugin\file.dll
%APPDATA%\mymacro\plugin\qsgj11c.dll
%APPDATA%\mymacro\plugin\smwh.dll
%APPDATA%\mymacro\plugin\msg.dll
%APPDATA%\mymacro\plugin\regdll.dll
%APPDATA%\mymacro\plugin\sys.dll
%TEMP%\plugin.zip
%TEMP%\ad-mymacro9.xml.tmp
%TEMP%\mac8a35.tmp
%TEMP%\adcon\mm\tmpad.xml
%TEMP%\background.bmp
%ALLUSERSPROFILE%\boost_interprocess_qm\_rkj4dzx4drx
%ALLUSERSPROFILE%\boost_interprocess_qm\kqmad7o6fha
%TEMP%\e43bb72.tmp
C:\n1\an_s.bmp
C:\n1\zh_11.txt
C:\n1\wglogin_err2.bmp
C:\n1\wglogin_err1.bmp
C:\n1\wglogin_err3.bmp
C:\n1\dl_yzk.bmp
C:\n1\login_error1.bmp
C:\n1\login_xq_1.bmp
C:\n1\login_xq_2.bmp
C:\n1\login_tgp_x.bmp
C:\n1\zh_10.txt
C:\n1\zh_13.txt
C:\n1\zh_12.txt
C:\n1\ГЁГ«Г®ГЇГВ¶Г ВєВ°ГјВ¶ГґГіВ¦ВІГ®ВїВјГ±ГіВіГ№В±Г.txt
C:\n1\620.wav
C:\n1\zh_7.txt
C:\n1\zh_9.txt
C:\n1\zh_8.txt
C:\n1\zh_2.txt
C:\n1\zh_1.txt
C:\n1\zh_6.txt
C:\n1\zh_5.txt
C:\n1\zh_4.txt
C:\n1\zh_3.txt
C:\n1\ГЄГ¶В¶ВЇГ—ВўВІГЎ.bat
C:\n1\bg.bmp
C:\n1\zh\zh_13.txt
C:\n1\zh\zh_10.txt

Удаляет следующие файлы

%TEMP%\adcon\mm\tmpad.xml
%TEMP%\plugin.zip
%TEMP%\mymacro.zip
%TEMP%\rkey.zip
%TEMP%\runner.zip
%TEMP%\mt.zip
%ALLUSERSPROFILE%\boost_interprocess_qm\_rkj4dzx4drx

Перемещает следующие файлы

%TEMP%\ad-mymacro9.xml.tmp в %TEMP%\ad-mymacro9.xml
%TEMP%\background.bmp в %TEMP%\4a0background.bmp

Сетевая активность

Подключается к

'so##.anjian.com':80
'hm.##idu.com':80
'hm.##idu.com':443
'microsoft.com':80

TCP

Запросы HTTP GET

http://so##.anjian.com/V2014V2/Config/ad-mymacro.xml
http://do##.#rbrothers.com/qmacro/up_mymacro/liveupdate8.dat
http://so##.anjian.com/Include/BuildPage/AnJianBindingInstallPC.html
http://hm.##idu.com/h.js?82##############################
http://lo#.##.baidu.com/hm.gif?cc#############################################################################################################################################
http://lo#.##.baidu.com/hm.gif?cc#########################################################################################################################################################

Запросы HTTP POST

http://so##.anjian.com/Include/BuildPage/ExitAdXJL.shtml
http://so##.anjian.com/Interface/GetIP.aspx
http://so##.anjian.com/Interface/BindingPC/BindingUpdate.aspx

Другие

'hm.##idu.com':443

UDP

DNS ASK do##.#rbrothers.com
DNS ASK so##.anjian.com
DNS ASK ba##u.com
DNS ASK hi.###rothers.com
DNS ASK hm.##idu.com
DNS ASK microsoft.com
DNS ASK lo#.##.baidu.com
'localhost':61282
'localhost':63389

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\mymacro\binding.exe'
'%APPDATA%\mymacro\runner.exe' --host_id 3 --verify_key AUjPLnVR7Kl1 --product "<Полный путь к файлу>" --runner_md5 Rjg4N0Q0MjY2MkI0RUM3RTU3N0VBOTI0RUVDOEM3ODcA --version 2014.06.19549
'%WINDIR%\syswow64\ping.exe' www.ba##u.com -n 2' (со скрытым окном)

Запускает на исполнение