Trojan.Inject2.24950

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'YFLiveShow' = '%ProgramFiles%\YFLiveShow\YFLiveShow.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\msipwels] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\msipwels] 'ImagePath' = 'system32\DRIVERS\msipwels.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\kerscsa] 'ImagePath' = '%ProgramFiles%\wertdsc\kerscsa.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\UfgdjqAvpwwxcjgo] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\UfgdjqAvpwwxcjgo] 'ImagePath' = 'C:\sysdst\dstSer.exe'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c net start UfgdjqAvpwwxcjgo
'<SYSTEM32>\net.exe' start UfgdjqAvpwwxcjgo
'<SYSTEM32>\net1.exe' start UfgdjqAvpwwxcjgo
'C:\sysdst\dstSer.exe'
'%TEMP%\<Имя вируса>.exe'
'<SYSTEM32>\cmd.exe' /c ""C:\sysdst\dstSer.exe" /i"
'C:\sysdst\dstSer.exe' /i

Изменения в файловой системе:

Создает следующие файлы:

%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\mframe_bkg.jpg
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\time.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_9.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\logo.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_big.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_small_big.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\close.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_menu.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_small.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_8.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_16.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_2.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_14.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_15.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_3.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_6.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_7.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_4.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_5.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\dress.png
C:\sysdst\dost.dat
C:\sysdst\dstSer.exe
%ALLUSERSPROFILE%\Start Menu\Programs\M直播\M直播.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\M直播\卸载M直播.lnk
%ProgramFiles%\wertdsc\kerscsa.sys
%WINDIR%\psbntex.sys
%WINDIR%\mssdcvcs.dat
%ProgramFiles%\wertdsc\ncnfig.ini
<DRIVERS>\msipwels.sys
%HOMEPATH%\Desktop\M直播.lnk
%ProgramFiles%\YFLiveShow\skin\Default\resources.xml
%ProgramFiles%\YFLiveShow\skin\Default\ui_defmessagebox.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\window\framemod_sim.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\window_transparent_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\ui_mframe.xml
%TEMP%\<Имя вируса>.exe
%ProgramFiles%\YFLiveShow\HttpDownManager.dll
%ProgramFiles%\YFLiveShow\skin\Default\ui_mframeabout.xml
%ProgramFiles%\YFLiveShow\skin\Default\ui_systemsettings.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_13.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\combo_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\combo_Itembk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\check_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\Combo_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\edit_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\list_header_bg.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\list_header_sep.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\edit_long_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\listctrl_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\button_bkgnd.png
%ProgramFiles%\YFLiveShow\msvcr90.dll
%ProgramFiles%\YFLiveShow\UIEngine.dll
%ProgramFiles%\YFLiveShow\Microsoft.VC90.CRT.manifest
%ProgramFiles%\YFLiveShow\msvcp90.dll
%ProgramFiles%\YFLiveShow\Uninstall.exe
%ProgramFiles%\YFLiveShow\skin\Default\images\control\buttom_functionview_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\buttom_functionview_bkgnd.png
%ProgramFiles%\YFLiveShow\YFLiveShow.exe
%ProgramFiles%\YFLiveShow\Lauguage\chinses.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\control\loading_s.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_error.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_info.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenu_sysset.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_check.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\default_photo.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_11.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_12.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_1.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_10.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenu_exit.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\scroll_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\ToolBar_BBkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\radio_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\scrollnor.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\vsrcoll_shrill_thumb_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_hot_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenubkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_arrow.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_bk.png