Trojan.KeyLogger.26375

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll

Изменения в файловой системе:

Создает следующие файлы:

C:\jdyou\ІЦївєЕ4.ini
C:\jdyou\ІЦївєЕ3.ini
C:\jdyou\УВ.bmp
C:\jdyou\Д¬ИП.bmp
C:\jdyou\ЛжЙнЙМµк.bmp
C:\jdyou\jb.bmp
C:\jdyou\ziz.bmp
C:\jdyou\jj1.bmp
C:\jdyou\ІЦївєЕ2.ini
C:\jdyou\ІЦївєЕ1.ini
C:\jdyou\123.bmp
C:\jdyou\kll.bmp
C:\jdyou\233.bmp
C:\jdyou\ccc.bmp
C:\jdyou\abcf.bmp
C:\jdyou\ёґ»о.bmp
C:\jdyou\АэЧУ.txt
C:\jdyou\ЧФ¶ЁТеµЗВЅХКєЕ.ini
C:\jdyou\7.bmp
C:\jdyou\kkaa.bmp
C:\jdyou\a2.bmp
C:\jdyou\a1.bmp
C:\jdyou\a3.bmp
C:\jdyou\q11.bmp
C:\jdyou\Ійїґ.bmp
C:\jdyou\zi.bmp
C:\jdyou\shixiang.jpg
C:\jdyou\СйЦ¤.bmp
C:\jdyou\СйЦ¤2.bmp
C:\jdyou\СйЦ¤1.bmp
C:\jdyou\іц.bmp
C:\jdyou\іЯґз.bmp
C:\jdyou\±кЦѕ2.bmp
C:\jdyou\Ѕ»ТЧ.bmp
C:\jdyou\±кЦѕ1.bmp
C:\jdyou\Іж1.bmp
C:\jdyou\Іж2.bmp
C:\jdyou\Іж3.bmp
C:\jdyou\ІжІж.bmp
C:\jdyou\jt1.bmp
C:\jdyou\mk.ini
C:\jdyou\lq1.bmp
C:\jdyou\abv.bmp
C:\jdyou\РЎІо.bmp
C:\jdyou\jy.bmp
C:\jdyou\pps.bmp
C:\jdyou\k.bmp
C:\jdyou\jd.bmp
C:\jdyou\lq.bmp
C:\jdyou\ai.bmp
C:\jdyou\ІЦївєЕ8.ini
C:\jdyou\ІЦївєЕ7.ini
C:\jdyou\k4.txt
C:\jdyou\shi.bmp
C:\jdyou\З°Нщ.bmp
C:\jdyou\jia.bmp
C:\jdyou\yn.bmp
C:\jdyou\ЧФ¶Ї.bmp
C:\jdyou\ІЦївєЕ6.ini
C:\jdyou\ІЦївєЕ5.ini
C:\jdyou\°ІИ«a.bmp
C:\jdyou\°ІИ«.bmp
C:\jdyou\µЗВЅЅзГжa.bmp
C:\jdyou\»».bmp
C:\jdyou\µЗВЅЅзГжb.bmp
C:\jdyou\sfz.txt
C:\jdyou\over.bmp
C:\jdyou\wa.bmp
C:\jdyou\yy2.bmp
C:\jdyou\yy1.bmp
C:\jdyou\ХЛaa.bmp
C:\jdyou\ХЛa.bmp
C:\jdyou\ХЛb.bmp
C:\jdyou\1.bat
C:\jdyou\ХЛbb.bmp
C:\jdyou\ГЬa.bmp
C:\jdyou\»»a.bmp
C:\jdyou\ГЬaa.bmp
C:\jdyou\ГЬbb.bmp
C:\jdyou\ГЬb.bmp
C:\jdyou\nwang.jpg
%TEMP%\5737.tmp
%TEMP%\5736.tmp
%APPDATA%\qmacro\ocx\57321e39-9832-443f-94f0-dd4710bd3f52\SetupOCXFile
%APPDATA%\qmacro\shield\SD001.dat
%APPDATA%\qmacro\shield\SD000.dat
%TEMP%\mymacro.zip
<Текущая директория>\plugin\REMOTEANSWER.DLL
<Текущая директория>\cfgdll.dll
%APPDATA%\mymacro\qdisp.dll
<Текущая директория>\ShieldModule.dat
%TEMP%\c908.tmp
C:\jdyou\RegDll.dll
C:\jdyou\јУµг.bmp
C:\jdyou\З°НщјУµг.bmp
C:\jdyou\АлїЄ.bmp
%APPDATA%\qmacro\shield\SD003.dat
%APPDATA%\qmacro\shield\SD002.dat
%APPDATA%\qmacro\shield\SD004.dat
C:\jdyou\dm.dll
%APPDATA%\qmacro\shield\Shield.ini
<Текущая директория>\plugin\GETSYSINFO.DLL
%TEMP%\plugin.zip
<Текущая директория>\plugin\WINDOW.DLL
<Текущая директория>\plugin\BKGND.DLL
<Текущая директория>\plugin\MLY_SYS.DLL
%TEMP%\2.tmp
%TEMP%\1.tmp
%TEMP%\3.tmp
%TEMP%\5.tmp
%TEMP%\4.tmp
<Текущая директория>\plugin\WEB.DLL
<Текущая директория>\plugin\SYS.DLL
<Текущая директория>\plugin\IE.DLL
<Текущая директория>\plugin\LXJ_PLUG.DLL
<Текущая директория>\plugin\HYDATI.DLL
<Текущая директория>\plugin\MEMORY.DLL
<Текущая директория>\plugin\WNDEX6.DLL
<Текущая директория>\plugin\BGKMS6_10.DLL
<Текущая директория>\plugin\FILE.DLL
<Текущая директория>\plugin\REGDLL.DLL
C:\jdyou\КХ»хЅЗЙ«.bmp
C:\jdyou\УОП·В·ѕ¶.bmp
C:\jdyou\Ѕ»ТЧПЯВ·.bmp
C:\jdyou\Ѕ»ТЧµШНј.bmp
C:\jdyou\Ѕ»ТЧЧш±к.bmp
C:\jdyou\6.bmp
C:\jdyou\jj.bmp
C:\jdyou\4.bmp
C:\jdyou\Ч°±ё.bmp
C:\jdyou\К№УГ.bmp
C:\jdyou\1.jpg
<Текущая директория>\timer_icon.ico
C:\jdyou\jt.bmp
C:\jdyou\qd.bmp
<Текущая директория>\jj.ini
C:\jdyou\3.jpg
C:\jdyou\ming.txt
C:\jdyou\2.jpg
<Текущая директория>\browsebox_dir.ico
<Текущая директория>\browsebox_file.ico
%TEMP%\402A.tmp
C:\jdyou\3.bmp
C:\jdyou\ЧўІбЅзГж.bmp
%APPDATA%\qmacro\ocx\402ee1a5-63c0-4812-83a8-26101294ce34\SetupOCXFile
C:\jdyou\µЗВЅЅзГж.bmp
C:\jdyou\ЖнФё.bmp
%TEMP%\2e49.tmp
C:\jdyou\1.bmp
C:\jdyou\2.bmp
%APPDATA%\qmacro\ocx\2e4f31e5-b8df-4d95-ae12-63374d8483d9\SetupOCXFile
C:\jdyou\·µ»Ш.bmp
<Текущая директория>\<Имя вируса>.ini
C:\jdyou\·ю.bmp
C:\jdyou\Іж.bmp
C:\jdyou\ЧўПъ.bmp
C:\jdyou\И·.bmp
C:\jdyou\ГЬ.bmp
C:\jdyou\ХЛ.bmp
C:\jdyou\kk.bmp
C:\jdyou\66.bmp

Удаляет следующие файлы:

<Текущая директория>\browsebox_dir.ico
<Текущая директория>\timer_icon.ico
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Q09597[1].htm
<Текущая директория>\browsebox_file.ico
%TEMP%\plugin.zip
%TEMP%\mymacro.zip
<Текущая директория>\ShieldModule.dat

Перемещает следующие файлы:

%APPDATA%\qmacro\ocx\402ee1a5-63c0-4812-83a8-26101294ce34\SetupOCXFile в %APPDATA%\qmacro\ocx\402ee1a5-63c0-4812-83a8-26101294ce34\1.ocx
%APPDATA%\qmacro\ocx\2e4f31e5-b8df-4d95-ae12-63374d8483d9\SetupOCXFile в %APPDATA%\qmacro\ocx\2e4f31e5-b8df-4d95-ae12-63374d8483d9\2.ocx
%APPDATA%\qmacro\ocx\57321e39-9832-443f-94f0-dd4710bd3f52\SetupOCXFile в %APPDATA%\qmacro\ocx\57321e39-9832-443f-94f0-dd4710bd3f52\QMacroUI.ocx

Сетевая активность:

Подключается к: