Trojan.KeyLogger.43118

Technical Information

Malicious functions

Installs hooks to intercept notifications

on keystrokes:

Handler for all processes: <Current directory>\cfgdll.dll

Searches for windows to

detect analytical utilities:

ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Modifies file system

Creates the following files

%TEMP%\mac62f6.tmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В°ГГ№ВјГіВµГЈ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВЈВёВЈГЄВЇ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГЄГ±ГҐ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄГ ВЅГ§ВµГёГВј1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г«ГёВ¶ВЁ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—ВіГ©В№В¦.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВЈВёВЈГЄВЇ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВЈВёВЈГЄВЇ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГЄГ±ГҐ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВїВЄГЄВј1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГЄГ±ГҐ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГЄГ±ГҐ3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—В±ГЄГ¶Вѕ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г«Г¦Г©ГГ©Г¬ВµГЄ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§ВїГ¶Г¦В№ГёВ±Гµ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\1ГЇГџ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—В±ГЄГ¶Вѕ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—ВіГ©В№В¦1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВўГЇГє.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВЈВёВЈГЄВЇ3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГГ®Гі.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ВЎВєГ¬.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄГ ВЅГ§ВµГёГВј.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г«ВµГЈГ·.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г«Г¦Г©ГГ©Г¬ВµГЄ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¬ГЎГЄВѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¬ГЎГЄВѕ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГГ¦ВјГ¶ВјГіВµГЈ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЇГІГіГІВ№Гё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЇГІГ—ГіВїВЄ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ВЎГ В¶.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ГґВ¶ВЇГ¬ГґГµВЅВёВ±В±Вѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ГўВ№В¦Г¤Гј.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ГҐВјГѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ГҐВјГѕ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ГҐВјГѕ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГіГўГµГџВґГіГўВЅ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГґГєВ№ГІВ»Гє.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¶Г°ВєГ¬.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¶Г°Г В¶.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¦ГЎВ±Г®1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ©В»ГЄВ±В¦ГЄВЇ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\dm.dll
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіГ¬Г¬ГЄВ№1.txt
C:\ВґГіГ¬Г¬ГЄВ№\ВѕВ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¤ГЄ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄВ®.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»6.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»5.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»4.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВіГ¶ГЄГ»1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г«ГёВ¶ВЁ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВµГ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГГ®Гі3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅГ°Г—В©.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г Г«ВїВЄВёВ±В±Вѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г Г«ВїВЄВёВ±В±Вѕ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГГ®ГіВµГ¤.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіГ¬Г¬ГЄВ№Г—ВЁГіГЈ.dll
C:\ВґГіГ¬Г¬ГЄВ№\ГµГ«ВєГҐ.txt
C:\ВґГіГ¬Г¬ГЄВ№\ВµГ¤.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄВ№ГіГЈ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\mu.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ©В»ГЄВ±В¦ГЄВЇ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г±Г»Г§Г«.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±ГµГ±Г»Г§Г«.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ4.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅГёГЁГ«ГіГ®ГЇВ·.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВўГЇГє1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГГ®Гі1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГіГўГµГџВґГіГўВЅ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄГ ВЅГ§ВµГёГВј2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\configuration.ini
C:\ВґГіГ¬Г¬ГЄВ№\Г©ГєГЈГјВ±В¦ГЄВЇ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГіГ°ГЈВ«.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГіГ°ГЈВ«1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГГ®Гі2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВўГЇГє2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ВўГЇГє3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅГёГЁГ«ГіГ®ГЇВ·1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГГ©ГЇВµГ§ГўВЅ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄГ§.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГўГґ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЁГµВіВЈ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¦ГГґВё1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В©ВµВЅ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В°ГГ№ГЁГ®Г®Г±1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЁВ·В¶ВЁ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЄВ№ГіГЈ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГГ¦ВјГ¶ВјГіВµГЈ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г°ГўВ№В¦Г¤Гј1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г—ГґВ¶ВЇГ¬ГґГµВЅВёВ±В±Вѕ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\npc.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В¶Г Г¶ГёВјГЅ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґВґВЅВЁВЅГ§Г©В«.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіВєГ¬.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіГ В¶.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіГ¬Г¬ГЄВ№.txt
C:\ВґГіГ¬Г¬ГЄВ№\ВґГіГ¬Г¬ГЄВ№2.txt
C:\ВґГіГ¬Г¬ГЄВ№\ВµГ§ГўВЅ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВµГЁВјВ¶.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВµГё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё5.bmp
C:\ВґГіГ¬Г¬ГЄВ№\1ГЇГџ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё4.bmp
%APPDATA%\qmacro\shield\sd002.dat
%TEMP%\mac6307.tmp
%TEMP%\plugin.zip
<Current directory>\cfgdll.dll
<Current directory>\shieldmodule.dat
%APPDATA%\mymacro\qdisp.dll
%TEMP%\2dce2c2.tmp
%APPDATA%\qmacro\shield\sd000.dat
%APPDATA%\qmacro\shield\sd001.dat
%APPDATA%\qmacro\shield\sd003.dat
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґГ—В°В±Вё1.bmp
%APPDATA%\qmacro\shield\sd004.dat
%APPDATA%\qmacro\shield\shield.ini
C:\ВґГіГ¬Г¬ГЄВ№\В№ГІ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ6.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ7.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВјГ¬Г°ГёГЁГ®Г®Г±1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г Г«ВїВЄВёВ±В±Вѕ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґВІГ©ВїВґ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В»Г¶ВёВґ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В°ГГ№ГЁГ®Г®Г±.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ВіГ—Гі.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г В¶.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґВІГ©ВїВґ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґВІГ©ВїВґ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґГ¬ГҐГ±Г©.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎВўВјВґГ—В°В±Вё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¤Г¬Г¬.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЎГ¬ГЁВЎВЅВ±Г Гё2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ВґГ±ВЎ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¤В§.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¦ГЎВ±Г®.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г¦ГГґВё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В©.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В©ВµВЅ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В©ВµВЅ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В°ГГ№ВјГіВµГЈ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г§В°ГГ№ВјГіВµГЈ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\Г В®В°ГЁ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ГЁВ·В¶ВЁ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВїГ¬Г«Г№ВЅГёГЁГ«.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВєГ¬.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГІ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГІВ»Гє.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±Гµ5.bmp
C:\ВґГіГ¬Г¬ГЄВ№\В№ГёВ±ГµГіГ®ГЇВ·.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВёГјВ¶Г .bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВїВЄГ¦ГґГ¦ГГґВё.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВјГ¬Г°ГёГЁГ®Г®Г±.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—1.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—2.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—3.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅВ»ГІГ—В±ГЄГ¶Вѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВЅГ°В±ГІ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВїВЄВ·Гѕ.bmp
C:\ВґГіГ¬Г¬ГЄВ№\ВїВЄГЄВј.bmp
C:\ВґГіГ¬Г¬ГЄВ№\regdll.dll

Deletes the following files

%TEMP%\plugin.zip
<Current directory>\shieldmodule.dat

Network activity

Connects to

'c.###huoa.com':80

TCP

HTTP GET requests

http://c.###huoa.com/c2/MymacroidSalesUrl.aspx?my#######################

UDP

DNS ASK c.###huoa.com

Miscellaneous

Searches for the following windows

ClassName: '18467-41' WindowName: ''

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial