Trojan.DownLoader8.21577

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yok.exe' = '%PROGRAM_FILES%\yok\yok.exe'
[<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{F869BB38-FFEF-4589-B986-610B7AD0ADA2}] 'Exec' = 'http://www.yok.com'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TYKeeper] 'Start' = '00000000'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\yok\yok.exe
%TEMP%\yok_222_116213.exe 1975253420
%TEMP%\setup_iesuper_20071221.exe

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtRestoreKey, драйвер-обработчик: TYKeeper.sys
NtQueryValueKey, драйвер-обработчик: TYKeeper.sys
NtTerminateProcess, драйвер-обработчик: TYKeeper.sys
NtSetValueKey, драйвер-обработчик: TYKeeper.sys
NtOpenSection, драйвер-обработчик: TYKeeper.sys
NtDeleteValueKey, драйвер-обработчик: TYKeeper.sys
NtDeleteKey, драйвер-обработчик: TYKeeper.sys
NtEnumerateValueKey, драйвер-обработчик: TYKeeper.sys
NtEnumerateKey, драйвер-обработчик: TYKeeper.sys

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\yok\relband.dll
%PROGRAM_FILES%\yok\adblock.dll
%PROGRAM_FILES%\yok\setting.dll
%PROGRAM_FILES%\yok\toolbar.dll
%TEMP%\tmp8.CAB
%PROGRAM_FILES%\yok\TYKeeper\TYKeeper.vxd
%PROGRAM_FILES%\yok\versionx.dll
%PROGRAM_FILES%\yok\tykeeper.dll
%PROGRAM_FILES%\yok\autolive.dll
%PROGRAM_FILES%\yok\image\tool.bmp
%PROGRAM_FILES%\yok\image\tools.bmp
%PROGRAM_FILES%\yok\image\sogou.bmp
%PROGRAM_FILES%\yok\image\stories.bmp
%PROGRAM_FILES%\yok\yok.exe
%PROGRAM_FILES%\yok\yok.dll
%PROGRAM_FILES%\yok\image\yisou.bmp
%PROGRAM_FILES%\yok\image\zhongsou.bmp
%TEMP%\tmp9.CAB
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ins[1].php
%TEMP%\tmpC.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\yok1[1].ini
%PROGRAM_FILES%\yok\YOK1.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\yok3[1].ini
%PROGRAM_FILES%\yok\YOK3.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\yok2[1].ini
%PROGRAM_FILES%\yok\YOK2.ini
%PROGRAM_FILES%\yok\uninst.exe
%PROGRAM_FILES%\yok\TYKeeper\TYRule01.dat
<DRIVERS>\TYKeeper.sys
%PROGRAM_FILES%\yok\TYKeeper\TYKeeper.sys
%TEMP%\tmpA.CAB
%TEMP%\tmpB.CAB
<SYSTEM32>\TYRule02.dat
<SYSTEM32>\TYRule01.dat
%PROGRAM_FILES%\yok\protect.dll
%PROGRAM_FILES%\yok\search.ini
%PROGRAM_FILES%\yok\image\HighLight.bmp
%PROGRAM_FILES%\yok\yoksch.htm
%PROGRAM_FILES%\yok\barcfg.ini
%PROGRAM_FILES%\yok\image\baidu.bmp
%PROGRAM_FILES%\yok\image\books.bmp
%PROGRAM_FILES%\yok\image\adblockd.bmp
%PROGRAM_FILES%\yok\image\adblockn.bmp
%PROGRAM_FILES%\yok\YOK.ico
%TEMP%\setup_iesuper_20071221.exe
%TEMP%\yok_222_116213.exe
%TEMP%\nso2.tmp
%TEMP%\nst3.tmp\System.dll
%TEMP%\nsm7.tmp\System.dll
%TEMP%\yok\PROTECT.dll
%PROGRAM_FILES%\IESuper\iesuper.dll
%TEMP%\nsg6.tmp
%PROGRAM_FILES%\IESuper\ies_uni.exe
%PROGRAM_FILES%\yok\image\music.bmp
%PROGRAM_FILES%\yok\image\news.bmp
%PROGRAM_FILES%\yok\image\more.bmp
%PROGRAM_FILES%\yok\image\movies.bmp
%PROGRAM_FILES%\yok\image\shopping.bmp
%PROGRAM_FILES%\yok\image\softwares.bmp
%PROGRAM_FILES%\yok\image\pictures.bmp
%PROGRAM_FILES%\yok\image\search.bmp
%PROGRAM_FILES%\yok\image\map.bmp
%PROGRAM_FILES%\yok\image\flash.bmp
%PROGRAM_FILES%\yok\image\forums.bmp
%PROGRAM_FILES%\yok\image\business.bmp
%PROGRAM_FILES%\yok\image\favorites.bmp
%PROGRAM_FILES%\yok\image\iask.bmp
%PROGRAM_FILES%\yok\image\logo_hot.bmp
%PROGRAM_FILES%\yok\image\games.bmp
%PROGRAM_FILES%\yok\image\google.bmp

Удаляет следующие файлы:

%TEMP%\yok_222_116213.exe
%TEMP%\nst3.tmp\System.dll
%TEMP%\tmpC.tmp
%TEMP%\nsm7.tmp\System.dll
%PROGRAM_FILES%\yok\TYKeeper\TYKeeper.vxd
%PROGRAM_FILES%\yok\TYKeeper\TYKeeper.sys
%PROGRAM_FILES%\yok\TYKeeper\TYRule01.dat

Сетевая активность:

Подключается к:

're##.yok.com':80
'dl.#ok.com':80
'localhost':1037

TCP:

Запросы HTTP GET:

dl.#ok.com/yok/yok2.ini?m=#########################################
dl.#ok.com/yok/yok3.ini?m=#########################################
dl.#ok.com/yok/yok1.ini?m=#########################################
re##.yok.com/ins.php?p=##########################################################################################################################

UDP: