Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ЙщЖµЙи±ёЅыУГєуУ°ПмПµНіХэіЈФЛРР' = '%APPDATA%\NVIDPLA\winrly.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' .\eEye.dll /s
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: 'FilemonClass' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\6scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\7scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\4scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\5scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\8scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\11scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\12scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\9scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\10scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\3scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\11scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\12scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\9scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\10scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\13scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\2scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\14scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\15scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\13scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\11ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\12ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\9ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\10ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\13ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1pdwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1xzdz[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\14ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\15ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\8ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\2ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\14scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\15scwjj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\3ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\6ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\7ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\4ycwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\5ycwj[1].html
- %TEMP%\ad-mymacro9.xml
- %TEMP%\adcon\mm\tmpad.xml
- <Текущая директория>\plugin\LXJ_PLUG.DLL
- %TEMP%\mymacro.zip
- <Текущая директория>\cfgdll.dll
- %TEMP%\2a23.tmp
- %APPDATA%\qmacro\shield\SD000.dat
- <Текущая директория>\ShieldModule.dat
- %APPDATA%\mymacro\qdisp.dll
- <Текущая директория>\plugin\HIDEWINICON.DLL
- %TEMP%\plugin.zip
- <Текущая директория>\plugin\GETSYSINFO.DLL
- %TEMP%\1.tmp
- %TEMP%\2.tmp
- <Текущая директория>\plugin\WINDOW.DLL
- <Текущая директория>\plugin\FILE.DLL
- <Текущая директория>\plugin\PLUG365.DLL
- <Текущая директория>\plugin\WEB.DLL
- <Текущая директория>\plugin\OPEN.DLL
- %APPDATA%\qmacro\shield\SD001.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\2scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\3scwj[1].html
- <Текущая директория>\plugin\FILE.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\4scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\7scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\8scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\5scwj[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\6scwj[1].html
- <Текущая директория>\plugin\WEB.ini
- %APPDATA%\qmacro\shield\SD004.dat
- %APPDATA%\qmacro\shield\Shield.ini
- %APPDATA%\qmacro\shield\SD002.dat
- %APPDATA%\qmacro\shield\SD003.dat
- <Текущая директория>\<Имя вируса>.ini
- <Текущая директория>\plugin\PLUG365.ini
- <Текущая директория>\EEye.dll
- <Текущая директория>\plugin\WINDOW.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ad-mymacro[1].xml
Удаляет следующие файлы:
- <Текущая директория>\ShieldModule.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ad-mymacro[1].xml
- %TEMP%\adcon\mm\tmpad.xml
- %TEMP%\plugin.zip
- %TEMP%\mymacro.zip
Перемещает следующие файлы:
- %TEMP%\ad-mymacro9.xml.tmp в %TEMP%\ad-mymacro9.xml
Сетевая активность:
Подключается к:
- 'hi.###rothers.com':80
- 'xj#.#jzku.com':80
- 'localhost':1037
- 'ad.###rothers.com':80
TCP:
Запросы HTTP GET:
- xj#.#jzku.com/scwj/2ycwj.html
- xj#.#jzku.com/scwj/1ycwj.html
- xj#.#jzku.com/scwj/15scwjj.html
- xj#.#jzku.com/scwj/5ycwj.html
- xj#.#jzku.com/scwj/4ycwj.html
- xj#.#jzku.com/scwj/3ycwj.html
- xj#.#jzku.com/scwj/11scwjj.html
- xj#.#jzku.com/scwj/10scwjj.html
- xj#.#jzku.com/scwj/9scwjj.html
- xj#.#jzku.com/scwj/14scwjj.html
- xj#.#jzku.com/scwj/13scwjj.html
- xj#.#jzku.com/scwj/12scwjj.html
- xj#.#jzku.com/scwj/6ycwj.html
- xj#.#jzku.com/scwj/15ycwj.html
- xj#.#jzku.com/scwj/14ycwj.html
- xj#.#jzku.com/scwj/13ycwj.html
- xj#.#jzku.com/az/1xzdml.html
- xj#.#jzku.com/az/1xzdz.html
- xj#.#jzku.com/az/1pdwj.html
- xj#.#jzku.com/scwj/9ycwj.html
- xj#.#jzku.com/scwj/8ycwj.html
- xj#.#jzku.com/scwj/7ycwj.html
- xj#.#jzku.com/scwj/12ycwj.html
- xj#.#jzku.com/scwj/11ycwj.html
- xj#.#jzku.com/scwj/10ycwj.html
- xj#.#jzku.com/scwj/7scwj.html
- xj#.#jzku.com/scwj/6scwj.html
- xj#.#jzku.com/scwj/5scwj.html
- xj#.#jzku.com/scwj/10scwj.html
- xj#.#jzku.com/scwj/9scwj.html
- xj#.#jzku.com/scwj/8scwj.html
- xj#.#jzku.com/scwj/1scwj.html
- hi.###rothers.com/xjl/mmcount.aspx?mm###########################################################################################################################################################
- ad.###rothers.com/qmacro/v9/ad-mymacro.xml
- xj#.#jzku.com/scwj/4scwj.html
- xj#.#jzku.com/scwj/3scwj.html
- xj#.#jzku.com/scwj/2scwj.html
- xj#.#jzku.com/scwj/11scwj.html
- xj#.#jzku.com/scwj/5scwjj.html
- xj#.#jzku.com/scwj/4scwjj.html
- xj#.#jzku.com/scwj/3scwjj.html
- xj#.#jzku.com/scwj/8scwjj.html
- xj#.#jzku.com/scwj/7scwjj.html
- xj#.#jzku.com/scwj/6scwjj.html
- xj#.#jzku.com/scwj/14scwj.html
- xj#.#jzku.com/scwj/13scwj.html
- xj#.#jzku.com/scwj/12scwj.html
- xj#.#jzku.com/scwj/2scwjj.html
- xj#.#jzku.com/scwj/1scwjj.html
- xj#.#jzku.com/scwj/15scwj.html
UDP:
- DNS ASK do##.#rbrothers.com
- DNS ASK xj#.#jzku.com
- DNS ASK ad.###rothers.com
- DNS ASK hi.###rothers.com
Другое:
Ищет следующие окна:
- ClassName: 'TrayNotifyWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '??????????????????'
- ClassName: 'ToolbarWindow32' WindowName: '(null)'
- ClassName: 'SysPager' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: '18467-41' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
