Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SafeMon1] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\rhynejtx\ctp\gqfa\cnwirca\qrw.exe'
- 'C:\Robolet_YouXia.exe'
- 'C:\rar.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c run.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\d.bat "c:\rar.exe"
Завершает или пытается завершить
следующие пользовательские процессы:
- dnf.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\youxia\UserScripts\Hello.lua
- C:\lua.dll
- C:\youxia\SpeciaOgre\OrgeTypeDefine.ini
- C:\youxia\Task.ini
- C:\rar.exe
- %TEMP%\sysa.dat
- C:\lualib.dll
- C:\Robolet_YouXia.exe
- C:\youxia\Scenarios\UserDefineScript.ini
- C:\youxia\Skills\CpConfig.ini
- C:\youxia\Scenarios\Scenarios.ini
- C:\youxia\Scenarios\ScenariosVar.ini
- C:\youxia\SpeciaBagItem\OrgeTypeDefine.ini
- C:\youxia\SpeciaOgre\CpConfig.ini
- C:\youxia\Skills\SkillPanels.ini
- C:\youxia\SpeciaBagItem\CpConfig.ini
- %WINDIR%\Fonts\e1ccff77.dat
- %TEMP%\d.bat
- C:\rhynejtx\ctp\gqfa\cnwirca\secpol.msc
- C:\rhynejtx\ctp\gqfa\cnwirca\dataclen.dll
- C:\rhynejtx\ctp\gqfa\cnwirca\appwiz.cpl
- C:\rhynejtx\ctp\gqfa\cnwirca\wmadmod.dll
- C:\run.bat
- C:\rhynejtx\ctp\gqfa\cnwirca\qprocess.exe
- C:\rhynejtx\ctp\gqfa\cnwirca\iuengine.dll
- C:\rhynejtx\ctp\gqfa\cnwirca\qrw.exe
- C:\Setup.ini
- <SYSTEM32>\lua.dll
- <SYSTEM32>\lualib.dll
- C:\rhynejtx\ctp\gqfa\cnwirca\routetab.dll
- C:\rhynejtx\ctp\gqfa\cnwirca\umandlg.dll
- C:\rhynejtx\ctp\gqfa\cnwirca\qrw.rsys
- C:\rhynejtx\ctp\gqfa\cnwirca\digest.dll
- C:\youxia\Scenarios\RecordMap.ini
- C:\youxia\Autofightmap\RecordMap.map
- C:\youxia\Autofightmap\Relive_map.map
- C:\youxia\Autofightmap\in_city_endtorepair.map
- C:\youxia\Autofightmap\MapsConfig.ini
- C:\youxia\CodeTemplate\AttackPolicyBaseFunc.lua
- C:\youxia\CodeTemplate\AttackPolicyRun.lua
- C:\youxia\Autofightmap\relive_maps.ini
- C:\youxia\Autofightmap\robolet_tmp_maps.ini
- C:\youxia\AttackPolicy\CpConfig.ini
- C:\youxia\AttackPolicy\SkillPanels.ini
- C:\youxia\AttackPolicy\ap.lua
- C:\youxia\AttackPolicy\aps.xml
- C:\youxia\Autofightmap\gotorepair_in_city_map.ini
- C:\youxia\Autofightmap\gotorepair_maps.ini
- C:\youxia\Autofightmap\autofight_maps.ini
- C:\youxia\Autofightmap\endtorepair_in_city_map.ini
- C:\youxia\CodeTemplate\AttackPolicyTemplate.lua
- C:\youxia\Scenarios\AutoAssistor.ini
- C:\youxia\Scenarios\AutoFight_Field.ini
- C:\youxia\mapdata7.dat
- C:\youxia\mapdata8.dat
- C:\youxia\Scenarios\AutoFight_Field_Relive.ini
- C:\youxia\Scenarios\AutoGatherRun.ini
- C:\youxia\Scenarios\AutoFight_Field_Area.ini
- C:\youxia\Scenarios\AutoFight_Field_Area_Relive.ini
- C:\youxia\Config.ini
- C:\youxia\Language\Chinese(Simplified).ini
- C:\youxia\CodeTemplate\RoboletError.ini
- C:\youxia\CodeTemplate\RoboletRules.ini
- C:\youxia\mapdata3.dat
- C:\youxia\mapdata5.dat
- C:\youxia\Language\Setup.ini
- C:\youxia\mapdata2.dat
Удаляет следующие файлы:
- C:\rhynejtx\ctp\gqfa\cnwirca\qrw.rsys
- C:\rar.exe
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
