Trojan.Siggen11.10251

Technical Information

To ensure autorun and distribution

Sets the following service settings

[<HKLM>\System\CurrentControlSet\Services\baby] 'ImagePath' = '<SYSTEM32>\PastKsckd.sys'

Creates the following services

'baby' <SYSTEM32>\PastKsckd.sys

Modifies file system

Creates the following files

%WINDIR%\syswow64\pastksckd.sys
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\navcancl[1]
%APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sxx
%APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\settings.sxx
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sxx
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\pcinfo.sxx
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\sc\mini\defaultscene\1\81\gcard.swf\mgedata.sxx

Deletes the following files

%WINDIR%\syswow64\pastksckd.sys
%APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sol
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sol

Moves the following files

from %APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sxx to %APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sol
from %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sxx to %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sol
from %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\pcinfo.sxx to %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\pcinfo.sol
from %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\sc\mini\defaultscene\1\81\gcard.swf\mgedata.sxx to %APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\sc\mini\defaultscene\1\81\gcard.swf\mgedata.sol

Substitutes the following files

%APPDATA%\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\settings.sol
%APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sxx
%APPDATA%\macromedia\flash player\macromedia.com\support\flashplayer\sys\#c2.web.yystatic.com\settings.sol
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sxx
%APPDATA%\macromedia\flash player\#sharedobjects\gr8by44n\c2.web.yystatic.com\r\rc\main\main\1\62\main.swf\main_guest_sobj.sol

Network activity

Connects to

'45.##5.126.21':107

TCP

HTTP GET requests

http://yy.com/s/1018/2143171536/mini.swf
http://st##.yy.com/crossdomain.xml
http://st##.yy.com/mainstat.html?s=##############################################################################################################################################################...
http://st###.web.yy.com/crossdomain.xml
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/defaultScene.swf
http://st###.web.yy.com/c.gif?ac#################################################################################################################################################################...
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/sceneConfig.xml
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/gCard.swf
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/Danmu.swf
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/gameMiniUI.swf
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/gTongji.swf
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/gTopBar.swf
http://c2.###.yystatic.com/r/sc/mini/defaultScene/1/81/moreLiveVideo.swf
http://c2.###.yystatic.com/r/rc/main/publicModulev2/1/64/smileres.swf
http://st##.yy.com/webyystat.html?&r#############################################################################################################################################################...
http://yl##.hiido.com/c.gif?ac###################################################################################################################################################################...
http://c2.###.yystatic.com/r/rc/main/core/1/825/playui.swf
http://yl##.hiido.com/crossdomain.xml
http://c2.###.yystatic.com/r/rc/main/core/1/825/core.bmp
http://we####.yystatic.com//get-data/1018?su####################################
http://yy.com/s/1018/2143171332/mini.swf
http://yy.com/s/1018/2143171190/mini.swf
http://yy.com/s/1018/2159303529/mini.swf
http://www.yy.com/s/1018/2143171332/mini.swf
http://www.yy.com/s/1018/2143171536/mini.swf
http://www.yy.com/s/1018/2143171190/mini.swf
http://we####.yystatic.com/s/1018/2143171536/mini.swf
http://we####.yystatic.com/s/1018/2143171190/mini.swf
http://www.yy.com/s/1018/2159303529/mini.swf
http://c2.###.yystatic.com/r/rc/main/main/1/62/main.swf?ty########################################################
http://we####.yystatic.com/s/1018/2143171332/mini.swf
http://we####.yystatic.com/s/1018/2159303529/mini.swf
http://c2.###.yystatic.com/r/rc/main/main/1/62/main.swf?ty##############################################################################################################
http://fp######ad2.macromedia.com/get/flashplayer/update/current/install/version.xml19.0.0.207~installVector=2&lang=en&cpuWordLength=64&playerType=ax&os=win&osVer=13
http://we####.yystatic.com/crossdomain.xml
http://c2.###.yystatic.com/r/rc/mini/loading/1/17/loading.swf
http://yl##.hiido.com/j.gif?ac############################################################################################################################