Техническая информация
Вредоносные функции:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <Текущая директория>\cfgdll.dll
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qmacro\ocx\fe48e4ea-2803-4adc-be90-6c171502b655\SetupOCXFile
- %TEMP%\fe4E.tmp
- %TEMP%\4d8F.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ad-mymacro[1].xml
- %TEMP%\4d810.tmp
- %APPDATA%\qmacro\ocx\1533b558-01e5-4196-a42d-dccd63d83617\SetupOCXFile
- %TEMP%\153C.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\liveupdate8[1].dat
- %TEMP%\fe4D.tmp
- %TEMP%\adcon\mm\liveupdate8.dat.tmp
- %APPDATA%\qmacro\ocx\4d8fa01f-cf20-41bb-9df0-34168f0d39f6\SetupOCXFile
- %TEMP%\6ca15.tmp
- %APPDATA%\qmacro\ocx\0de9c12d-78db-4357-a6e1-d8175866467f\SetupOCXFile
- %TEMP%\6ca16.tmp
- <Текущая директория>\uservar.ini
- %APPDATA%\qmacro\ocx\6ca78a4a-aaae-4901-ad89-be952acb3d79\SetupOCXFile
- %TEMP%\b5912.tmp
- %TEMP%\b5911.tmp
- %APPDATA%\qmacro\ocx\b59ccdb4-d8e4-4488-991a-61d18e24ce80\SetupOCXFile
- %TEMP%\0de14.tmp
- %TEMP%\0de13.tmp
- %TEMP%\7.tmp
- %TEMP%\6.tmp
- %TEMP%\8.tmp
- <Текущая директория>\plugin\WINDOW.DLL
- %TEMP%\plugin.zip
- %TEMP%\2.tmp
- %TEMP%\1.tmp
- %TEMP%\3.tmp
- %TEMP%\5.tmp
- %TEMP%\4.tmp
- <Текущая директория>\plugin\BKGND.DLL
- %TEMP%\adc9.tmp
- <Текущая директория>\cfgdll.dll
- %TEMP%\adcA.tmp
- %TEMP%\153B.tmp
- %APPDATA%\qmacro\ocx\adccdd56-6641-45e8-906b-cb59473bdb3f\SetupOCXFile
- %TEMP%\background.bmp
- %TEMP%\mymacro.zip
- %TEMP%\ad-mymacro8.xml
- %APPDATA%\qmacro\qdisp.dll
- %TEMP%\adcon\mm\tmpad.xml
Удаляет следующие файлы:
- %TEMP%\adcon\mm\tmpad.xml
- %TEMP%\mymacro.zip
- %TEMP%\plugin.zip
Перемещает следующие файлы:
- %APPDATA%\qmacro\ocx\b59ccdb4-d8e4-4488-991a-61d18e24ce80\SetupOCXFile в %APPDATA%\qmacro\ocx\b59ccdb4-d8e4-4488-991a-61d18e24ce80\cj1.ocx
- %APPDATA%\qmacro\ocx\4d8fa01f-cf20-41bb-9df0-34168f0d39f6\SetupOCXFile в %APPDATA%\qmacro\ocx\4d8fa01f-cf20-41bb-9df0-34168f0d39f6\cj.ocx
- %APPDATA%\qmacro\ocx\0de9c12d-78db-4357-a6e1-d8175866467f\SetupOCXFile в %APPDATA%\qmacro\ocx\0de9c12d-78db-4357-a6e1-d8175866467f\dlq.ocx
- %TEMP%\background.bmp в %TEMP%\9b0background.bmp
- %APPDATA%\qmacro\ocx\6ca78a4a-aaae-4901-ad89-be952acb3d79\SetupOCXFile в %APPDATA%\qmacro\ocx\6ca78a4a-aaae-4901-ad89-be952acb3d79\VIP.ocx
- %APPDATA%\qmacro\ocx\1533b558-01e5-4196-a42d-dccd63d83617\SetupOCXFile в %APPDATA%\qmacro\ocx\1533b558-01e5-4196-a42d-dccd63d83617\qfld.ocx
- %APPDATA%\qmacro\ocx\adccdd56-6641-45e8-906b-cb59473bdb3f\SetupOCXFile в %APPDATA%\qmacro\ocx\adccdd56-6641-45e8-906b-cb59473bdb3f\fw.ocx
- %TEMP%\adcon\mm\liveupdate8.dat.tmp в %TEMP%\adcon\mm\liveupdate8.dat
- %TEMP%\ad-mymacro8.xml.tmp в %TEMP%\ad-mymacro8.xml
- %APPDATA%\qmacro\ocx\fe48e4ea-2803-4adc-be90-6c171502b655\SetupOCXFile в %APPDATA%\qmacro\ocx\fe48e4ea-2803-4adc-be90-6c171502b655\cj.ocx
Сетевая активность:
Подключается к:
- 'ad.###rothers.com':80
- 'hi.###rothers.com':80
- 'localhost':1036
- 'do##.#rbrothers.com':80
TCP:
Запросы HTTP GET:
- ad.###rothers.com/qmacro/v8/ad-mymacro.xml
- do##.#rbrothers.com/qmacro/up_mymacro/liveupdate8.dat
UDP:
- DNS ASK hi.###rothers.com
- DNS ASK ad.###rothers.com
- DNS ASK do##.#rbrothers.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
