Trojan.DownLoader44.57723

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '<File name>' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\<File name>.jar"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] '<File name>' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\<File name>.jar"'

Creates or modifies the following files

%APPDATA%\microsoft\windows\start menu\programs\startup\<File name>.jar
<SYSTEM32>\tasks\skype

Modifies file system

Creates the following files

%HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jard
%HOMEPATH%\lib\jna-platform-5.5.0.jard
%HOMEPATH%\lib\jna-5.5.0.jard
%HOMEPATH%\lib\system-hook-3.5.jard
%HOMEPATH%\<File name>.jar
%TEMP%\jna-3599307\jna4438956124193559017.dll
%APPDATA%\lib\jna-5.5.0.jar
%APPDATA%\lib\jna-platform-5.5.0.jar
%APPDATA%\lib\sqlite-jdbc-3.14.2.1.jar
%APPDATA%\lib\system-hook-3.5.jar
%APPDATA%\<File name>.jar
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\<File name>.jar
%TEMP%\jna-3599307\jna3982441564442836466.dll

Deletes the following files

%TEMP%\jna-3599307\jna4438956124193559017.dll
%TEMP%\jna-3599307\jna3982441564442836466.dll

Moves the following files

from %HOMEPATH%\lib\jna-5.5.0.jard to %HOMEPATH%\lib\jna-5.5.0.jar
from %HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jard to %HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jar
from %HOMEPATH%\lib\jna-platform-5.5.0.jard to %HOMEPATH%\lib\jna-platform-5.5.0.jar
from %HOMEPATH%\lib\system-hook-3.5.jard to %HOMEPATH%\lib\system-hook-3.5.jar

Network activity

TCP

HTTP GET requests

http://st###aster.pw/strigoi/server/ping.php?li##########
http://ip##pi.com/json/

Other

're###.maven.org':443
'gi##ub.com':443
'ob#####.#ithubusercontent.com':443
'st#####fes.duckdns.org':2022

UDP

DNS ASK gi##ub.com
DNS ASK re###.maven.org
DNS ASK ob#####.#ithubusercontent.com
DNS ASK st###aster.pw
DNS ASK st#####fes.duckdns.org
DNS ASK ip##pi.com

Miscellaneous

Executes the following

'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar "%HOMEPATH%\<File name>.jar"
'<SYSTEM32>\cmd.exe' /c schtasks /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\<File name>.jar"
'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar "%APPDATA%\<File name>.jar"
'<SYSTEM32>\schtasks.exe' /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\<File name>.jar"
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_logicaldisk get volumeserialnumber /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_logicaldisk get volumeserialnumber /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get caption,OSArchitecture /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get caption,OSArchitecture /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get version /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get version /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:localhost /namespace:'\\root\securitycenter' path antivirusproduct get displayname /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:localhost /namespace:'\\root\securitycenter' path antivirusproduct get displayname /format:list

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android