Техническая информация
Вредоносные функции:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll
Изменения в файловой системе:
Создает следующие файлы:
- C:\РЎНГНГ2\hezi.bmp
- C:\РЎНГНГ2\ІйХТіµКЦ.bmp
- C:\РЎНГНГ2\confrim.bmp
- C:\РЎНГНГ2\B.bmp
- C:\РЎНГНГ2\carx.bmp
- C:\РЎНГНГ2\№ЬµА.bmp
- C:\РЎНГНГ2\єГУС.bmp
- C:\РЎНГНГ2\№Ш±Х.bmp
- C:\РЎНГНГ2\іЙ.bmp
- C:\РЎНГНГ2\·µ»Ш.bmp
- C:\РЎНГНГ2\A.bmp
- C:\РЎНГНГ2\hook.dll
- C:\РЎНГНГ2\lxj_Plug.dll
- C:\РЎНГНГ2\EWdj.dll
- C:\РЎНГНГ2\DBSoft.dll
- C:\РЎНГНГ2\dm.dll
- C:\РЎНГНГ2\RegDll.dll
- C:\РЎНГНГ2\WndEx6.dll
- C:\РЎНГНГ2\Plug365Ex.dll
- C:\РЎНГНГ2\MyHideProc.dll
- C:\РЎНГНГ2\Plug365.dll
- C:\РЎНГНГ2\РЎґ°їЪµДЧј±ё.bmp
- C:\РЎНГНГ2\РЎїЪИ·¶Ё.bmp
- C:\РЎНГНГ2\РЎґ°їЪµДНжјТОґЧј±ёµДІжІж.bmp
- C:\РЎНГНГ2\РЎґ°їЪµДІжІж.bmp
- C:\РЎНГНГ2\РЎґ°їЪµДїЄКјУОП·.bmp
- C:\РЎНГНГ2\ЖЧУ.txt
- C:\РЎНГНГ2\СёАЧјУЛЩЖч»бФ±.txt
- C:\РЎНГНГ2\dm_soft.txt
- C:\РЎНГНГ2\РВґ°їЪРЎІжІж.bmp
- C:\РЎНГНГ2\1.txt
- C:\РЎНГНГ2\ПК»ЁІжІж.bmp
- C:\РЎНГНГ2\АП.bmp
- C:\РЎНГНГ2\ИЎПы.bmp
- C:\РЎНГНГ2\їмЛЩЅшИл.bmp
- C:\РЎНГНГ2\јУИлУОП·.bmp
- C:\РЎНГНГ2\їЄКј.bmp
- C:\РЎНГНГ2\НЛіц.bmp
- C:\РЎНГНГ2\О»ЦГ.bmp
- C:\РЎНГНГ2\И·¶Ё2.bmp
- C:\РЎНГНГ2\ИЎПы2.bmp
- C:\РЎНГНГ2\И·¶Ё.bmp
- C:\РЎНГНГ2\bgkms5.dll
- <Текущая директория>\plugin\FILE.DLL
- %TEMP%\mymacro.zip
- <Текущая директория>\plugin\BGKMS6_10.DLL
- <Текущая директория>\plugin\REGDLL.DLL
- <Текущая директория>\plugin\SYS.DLL
- <Текущая директория>\cfgdll.dll
- %TEMP%\1294.tmp
- %APPDATA%\qmacro\qdisp.dll
- %TEMP%\ad-mymacro9.xml
- %TEMP%\adcon\mm\tmpad.xml
- <Текущая директория>\plugin\BGKMS4_02.DLL
- %TEMP%\plugin.zip
- <Текущая директория>\plugin\DBSOFT.DLL
- %TEMP%\3.tmp
- %TEMP%\1.tmp
- %TEMP%\2.tmp
- <Текущая директория>\plugin\WNDEX6.DLL
- <Текущая директория>\plugin\BGKMS5.DLL
- <Текущая директория>\plugin\BKGND.DLL
- <Текущая директория>\plugin\MSG.DLL
- <Текущая директория>\plugin\WINDOW.DLL
- C:\Memorandum\newyan.txt
- C:\Memorandum\33.bmp
- C:\Memorandum\zbtup.bmp
- C:\Memorandum\ЙПјь.bmp
- C:\Memorandum\ПВјь.bmp
- C:\РЎНГНГ2\BGKM6.dll
- C:\РЎНГНГ2\bgkms4_02.dll
- <Текущая директория>\plugin\FILE.ini
- C:\Memorandum\pµг.bmp
- C:\Memorandum\·Йіµ.txt
- C:\Memorandum\Чујь.bmp
- <Текущая директория>\uservar.ini
- C:\Memorandum\dm.dll
- %TEMP%\adcon\mm\liveupdate8.dat.tmp
- %TEMP%\6955.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\liveupdate8[1].dat
- C:\Memorandum\·Йіµ.bmp
- C:\Memorandum\УТјь.bmp
- C:\Memorandum\land.bmp
- C:\Memorandum\їмЛЩЅшИл.bmp
- C:\Memorandum\¶ЁК±№Ш»ъїб.com
Удаляет следующие файлы:
- %TEMP%\adcon\mm\tmpad.xml
- <DRIVERS>\etc\hosts
- %TEMP%\plugin.zip
- %TEMP%\mymacro.zip
Перемещает следующие файлы:
- %TEMP%\adcon\mm\liveupdate8.dat.tmp в %TEMP%\adcon\mm\liveupdate8.dat
Сетевая активность:
Подключается к:
- 'hi.###rothers.com':80
- 'do##.#rbrothers.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- do##.#rbrothers.com/qmacro/up_mymacro/liveupdate8.dat
UDP:
- DNS ASK hi.###rothers.com
- DNS ASK ad.###rothers.com
- DNS ASK do##.#rbrothers.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
