Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.Inject2.24950
Добавлен в вирусную базу Dr.Web:
2016-07-08
Описание добавлено:
2016-07-08
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'YFLiveShow' = '%ProgramFiles%\YFLiveShow\YFLiveShow.exe'
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\msipwels] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\msipwels] 'ImagePath' = 'system32\DRIVERS\msipwels.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\kerscsa] 'ImagePath' = '%ProgramFiles%\wertdsc\kerscsa.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\UfgdjqAvpwwxcjgo] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\UfgdjqAvpwwxcjgo] 'ImagePath' = 'C:\sysdst\dstSer.exe'
Вредоносные функции:
Запускает на исполнение:
'<SYSTEM32>\cmd.exe' /c net start UfgdjqAvpwwxcjgo
'<SYSTEM32>\net.exe' start UfgdjqAvpwwxcjgo
'<SYSTEM32>\net1.exe' start UfgdjqAvpwwxcjgo
'C:\sysdst\dstSer.exe'
'%TEMP%\<Имя вируса>.exe'
'<SYSTEM32>\cmd.exe' /c ""C:\sysdst\dstSer.exe" /i"
'C:\sysdst\dstSer.exe' /i
Изменения в файловой системе:
Создает следующие файлы:
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\mframe_bkg.jpg
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\time.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_9.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\logo.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_big.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_small_big.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\close.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_menu.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\button_small.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_8.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_16.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_2.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_14.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_15.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_3.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_6.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_7.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_4.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_5.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\dress.png
C:\sysdst\dost.dat
C:\sysdst\dstSer.exe
%ALLUSERSPROFILE%\Start Menu\Programs\M直播\M直播.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\M直播\卸载M直播.lnk
%ProgramFiles%\wertdsc\kerscsa.sys
%WINDIR%\psbntex.sys
%WINDIR%\mssdcvcs.dat
%ProgramFiles%\wertdsc\ncnfig.ini
<DRIVERS>\msipwels.sys
%HOMEPATH%\Desktop\M直播.lnk
%ProgramFiles%\YFLiveShow\skin\Default\resources.xml
%ProgramFiles%\YFLiveShow\skin\Default\ui_defmessagebox.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\window\framemod_sim.png
%ProgramFiles%\YFLiveShow\skin\Default\images\window\window_transparent_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\ui_mframe.xml
%TEMP%\<Имя вируса>.exe
%ProgramFiles%\YFLiveShow\HttpDownManager.dll
%ProgramFiles%\YFLiveShow\skin\Default\ui_mframeabout.xml
%ProgramFiles%\YFLiveShow\skin\Default\ui_systemsettings.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_13.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\combo_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\combo_Itembk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\check_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\Combo_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\edit_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\list_header_bg.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\list_header_sep.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\edit_long_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\listctrl_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\button_bkgnd.png
%ProgramFiles%\YFLiveShow\msvcr90.dll
%ProgramFiles%\YFLiveShow\UIEngine.dll
%ProgramFiles%\YFLiveShow\Microsoft.VC90.CRT.manifest
%ProgramFiles%\YFLiveShow\msvcp90.dll
%ProgramFiles%\YFLiveShow\Uninstall.exe
%ProgramFiles%\YFLiveShow\skin\Default\images\control\buttom_functionview_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\buttom_functionview_bkgnd.png
%ProgramFiles%\YFLiveShow\YFLiveShow.exe
%ProgramFiles%\YFLiveShow\Lauguage\chinses.xml
%ProgramFiles%\YFLiveShow\skin\Default\images\control\loading_s.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_error.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_info.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenu_sysset.png
%ProgramFiles%\YFLiveShow\skin\Default\images\messagebox\msg_icon_check.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\default_photo.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_11.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_12.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_1.png
%ProgramFiles%\YFLiveShow\skin\Default\images\mframe\level\shall_level_10.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenu_exit.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\scroll_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\ToolBar_BBkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\radio_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\scrollnor.png
%ProgramFiles%\YFLiveShow\skin\Default\images\control\vsrcoll_shrill_thumb_bkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_hot_bk.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\sysmenubkgnd.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_arrow.png
%ProgramFiles%\YFLiveShow\skin\Default\images\menu\menu_bk.png
Сетевая активность:
Подключается к:
UDP:
DNS ASK bb.##han25.com
'11#.#14.114.114':1041
'11#.#14.114.114':1040
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: ''
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK