ПОЛЬЗОВАТЕЛЯМ

Закрыть

Поиск

Поиск

Поддержка
Круглосуточная поддержка

Напишите

Запрос через форму

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Напишите

Задать вопрос в поддержку

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

BY

RU CN DE EN ES FR IT JP KZ UZ PL BY
Закрыть
Сервисы
Сканеры
Dr.Web vxCube
Демо
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

BackDoor.Maxplus.1494

Добавлен в вирусную базу Dr.Web: 2012-01-17

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = ''
Создает следующие сервисы:
  • [<HKLM>\SYSTEM\ControlSet001\Services\.mrxsmb] 'ImagePath' = '\?'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\winlogon.exe
  • %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
  • %WINDIR%\$NtUninstallKB27979$\4121336045\@
  • %WINDIR%\$NtUninstallKB27979$\4121336045\cfg.ini
  • %WINDIR%\$NtUninstallKB27979$\4121336045\Desktop.ini
  • %WINDIR%\$NtUninstallKB27979$\4121336045\L\alehhooo
Сетевая активность:
Подключается к:
  • '24.##2.144.156':34354
  • '71.#07.7.87':34354
  • '74.#2.81.67':34354
  • '76.##3.134.48':34354
  • '10.##.211.183':34354
  • '24.##0.144.101':34354
  • '66.##.96.213':34354
  • '68.##0.97.100':34354
  • '69.##3.31.127':34354
  • '24.##9.244.155':34354
  • '17#.#8.229.137':34354
  • '68.##.21.245':34354
  • '24.##.134.215':34354
  • '86.##5.177.210':34354
  • '99.##.60.210':34354
  • '74.##6.82.40':34354
  • '15#.#5.148.240':34354
  • '66.##0.27.243':34354
  • '81.##4.250.44':34354
  • '74.##.240.21':34354
  • '74.##2.131.24':34354
  • '71.##9.118.7':34354
  • '69.##8.151.56':34354
  • '76.##3.197.46':34354
  • '69.##2.28.121':34354
  • '17#.#18.226.142':34354
  • '31.##5.129.123':34354
  • '71.#0.8.180':34354
  • '76.##1.145.76':34354
  • '12#.#36.252.76':34354
  • '93.##.156.230':34354
  • '67.##2.178.249':34354
  • '96.##.177.159':34354
  • '21#.#29.136.213':34354
  • '76.##7.157.173':34354
  • '17#.#09.169.173':34354
  • '69.##8.98.201':34354
  • '21#.#83.247.103':34354
  • '66.#7.6.73':34354
  • '65.##4.42.242':34354
  • '76.##0.107.197':34354
  • '69.##4.251.6':34354
  • '76.##.121.188':34354
  • '76.##4.198.240':34354
  • '68.##.236.222':34354
  • '83.##5.183.211':34354
  • '98.#44.76.5':34354
  • '72.##5.16.189':34354
  • '28.##0.210.43':34354
  • '75.##.11.170':34354
  • '17#.#.83.192':34354
  • '18#.#4.89.185':34354
  • '17#.#4.50.52':34354
  • '71.##7.73.243':34354
  • '77.##4.23.74':34354
  • '75.##.170.177':34354
  • '17#.#06.249.70':34354
  • '74.##4.203.248':34354
  • '17#.#34.139.250':34354
  • '17#.#7.29.106':34354
  • '19#.#7.93.190':34354
  • '68.#1.89.45':34354
  • '88.##9.241.167':34354
  • '70.##0.235.175':34354
  • '17#.#62.254.32':34354
  • '79.##3.116.199':34354
  • '82.##8.65.193':34354
  • '76.##7.42.209':34354
  • '12#.#6.117.205':34354
  • '17#.#.227.42':34354
  • '18#.#54.92.179':34354
  • '98.##3.253.38':34354
  • '67.##6.88.40':34354
  • '72.#07.20.3':34354
  • '68.##.195.118':34354
  • '17#.#02.44.32':34354
  • '24.##5.81.103':34354
  • '93.##.227.70':34354
  • '98.##2.36.250':34354
  • '20#.#.122.116':34354
  • '15#.#1.64.108':34354
  • '70.##5.127.131':34354
  • '17#.#74.131.126':34354
  • '94.##6.214.78':34354
  • '76.##.132.87':34354
  • '15#.#0.68.112':34354
  • '18#.#15.210.24':34354
  • '75.##.241.101':34354
  • '76.##7.150.120':34354
  • '18#.#9.66.109':34354
  • '68.##2.194.236':34354
  • '87.##1.151.231':34354
  • '89.#6.28.25':34354
  • '46.##.202.152':34354
  • '84.##2.166.241':34354
  • '17#.#71.130.65':34354
  • '16#.#31.126.69':34354
  • '70.##.143.55':34354
  • '17#.#3.29.167':34354
  • '96.##.117.86':34354
  • '17#.#8.27.234':34354
  • '75.##.126.62':34354
  • '92.##.24.160':34354
  • '75.##.100.163':34354
  • '17#.#1.25.160':34354
  • '79.#17.93.8':34354
  • '71.##.60.177':34354
  • '74.##.42.122':34354
  • '77.##.153.135':34354
  • '67.##6.241.190':34354
  • '17#.#03.3.152':34354
  • '18#.#15.153.86':34354
  • '75.#5.21.27':34354
  • '21#.#51.24.96':34354
  • '97.##.158.96':34354
  • '85.#7.224.3':34354
  • '19#.#4.143.71':34354
  • '24.##8.200.98':34354
  • '97.##.170.99':34354
  • '21#.#31.108.213':34354
  • '75.##.138.97':34354
  • '74.##.39.150':34354
  • '96.##.100.80':34354
  • '93.##.186.154':34354
  • '80.##9.102.74':34354
  • '17#.#74.135.225':34354
  • '20#.#10.159.130':34354
  • '68.##.226.80':34354
  • '2.###.94.140':34354
  • '18#.#42.55.118':34354
  • '71.##.155.137':34354
  • '84.##1.189.210':34354
  • '84.##2.119.164':34354
  • '75.##0.63.115':34354
  • '98.##6.39.19':34354
  • '68.##.81.144':34354
  • '80.#6.34.12':34354
  • '46.##4.172.194':34354
  • '17#.#2.122.119':34354
  • '14#.#14.165.128':34354
  • '98.##5.144.191':34354
  • '99.##7.179.163':34354
  • '93.##2.135.125':34354
  • '68.##.40.190':34354
  • '46.#8.2.91':34354
  • '84.##5.103.183':34354
  • '72.##9.65.173':34354
  • '75.##.161.30':34354
  • '2.##7.123.3':34354
  • '20#.#72.162.25':34354
  • '74.##6.45.34':34354
  • '71.##8.208.217':34354
  • '98.##5.254.50':34354
  • '18#.#91.158.105':34354
  • '24.#9.15.98':34354
  • '18#.#1.127.202':34354
  • '64.##.195.204':34354
  • '63.##5.138.206':34354
  • '71.#31.8.70':34354
  • '11#.#00.160.222':34354
  • '24.##3.23.209':34354
  • '69.#16.3.22':34354
  • '50.##.47.246':34354
  • '71.##.48.193':34354
  • '24.#9.3.7':34354
  • '67.##3.54.12':34354
  • '69.##9.115.7':34354
  • '17#.#1.55.89':34354
  • '75.#3.205.1':34354
  • '76.##2.178.132':34354
  • '24.##8.33.129':34354
  • 'pr####.fling.com':80
  • '79.##7.237.87':80
  • '95.##.229.77':34354
  • '98.##1.16.138':34354
  • '72.##3.100.127':34354
  • '76.##7.85.147':34354
  • '84.##4.154.92':34354
  • '75.##2.164.43':34354
  • '46.##0.234.125':34354
  • '79.##.214.112':34354
  • '77.##9.27.69':34354
  • '68.##8.166.58':34354
  • '16#.#37.145.108':34354
  • '67.##7.140.199':34354
  • '69.##1.226.116':34354
  • '21#.#0.57.163':34354
  • '91.##0.180.52':34354
  • '12#.#20.165.223':34354
  • '70.##8.168.140':34354
  • '77.##.45.116':34354
  • '18#.#2.97.243':34354
  • '70.##0.215.2':34354
  • '24.##2.134.4':34354
  • '10#.#03.69.10':34354
  • '69.##.196.67':34354
  • '17#.#6.135.166':34354
  • '21#.#31.15.176':34354
  • '98.##1.168.24':34354
  • '10#.#22.3.11':34354
  • '19#.#91.184.53':34354
  • '75.##.147.28':34354
  • '70.##7.90.46':34354
  • '72.##5.137.236':34354
  • '67.#2.5.221':34354
  • '67.##.189.95':34354
  • '17#.8.12.31':34354
  • '74.##4.196.164':34354
  • '98.##0.114.76':34354
  • '82.##.118.180':34354
  • '76.#3.29.40':34354
  • '98.##6.88.50':34354
  • '67.##7.202.106':34354
  • '93.##.209.242':34354
  • '72.##4.79.187':34354
  • '74.##.44.118':34354
  • '18#.#15.14.230':34354
  • '17#.#5.21.105':34354
  • '98.##4.128.114':34354
  • '10#.#8.2.212':34354
  • '24.#1.4.96':34354
  • '71.##.181.24':34354
  • '75.#5.36.62':34354
  • '17#.#2.50.128':34354
  • '87.#0.0.39':34354
  • '68.##5.97.125':34354
  • '66.##.12.244':34354
  • '24.##1.16.88':34354
  • '98.##6.31.196':34354
  • '84.##2.12.155':34354
  • '24.#0.5.177':34354
  • '13#.#52.139.241':34354
  • '99.##1.16.127':34354
  • '17#.#37.210.191':34354
  • '24.#6.26.58':34354
  • '50.##2.63.240':34354
  • '79.#12.22.9':34354
  • '19#.#06.162.77':34354
  • '24.##6.81.81':34354
  • '70.##5.188.96':34354
  • '64.##1.20.44':34354
  • '78.##.231.236':34354
  • '97.#5.163.0':34354
  • '17#.#00.120.154':34354
  • '24.##.24.180':34354
  • '15#.#24.149.190':34354
  • '80.##7.85.197':34354
  • '70.##1.92.204':34354
  • '24.#.187.158':34354
  • '72.##.246.18':34354
  • '10#.#7.38.153':34354
  • '69.##.167.232':34354
  • '89.##.105.113':34354
  • '69.##5.172.136':34354
  • '50.##9.23.173':34354
  • '67.##.172.242':34354
  • '13#.#60.105.32':34354
  • '93.#5.33.70':34354
TCP:
Запросы HTTP GET:
  • 79.##7.237.87/stat2.php?w=#############################################
  • 79.##7.237.87/stat2.php?w=############################################
  • pr####.fling.com/geo/txt/city.php
UDP:
  • DNS ASK z#ڎ!
  • DNS ASK z#���]
  • DNS ASK z#D�5
  • DNS ASK z#~�
  • DNS ASK z#]t
  • DNS ASK z#�c$�
  • DNS ASK z#qx�
  • DNS ASK z#��k
  • DNS ASK z#]�
  • DNS ASK z#�ٗf
  • DNS ASK pr####.fling.com
  • DNS ASK z#���T
  • DNS ASK z#�!n�
  • DNS ASK z#'���
  • DNS ASK z#��
  • '8.#.8.8':1035

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play