ПОЛЬЗОВАТЕЛЯМ

Закрыть

Поиск

Поиск

Поддержка
Круглосуточная поддержка

Напишите

Запрос через форму

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Напишите

Задать вопрос в поддержку

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

BY

RU CN DE EN ES FR IT JP KZ UZ PL BY
Закрыть
Сервисы
Сканеры
Dr.Web vxCube
Демо
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.Siggen15.38085

Добавлен в вирусную базу Dr.Web: 2021-11-10

Описание добавлено:

Technical Information

To ensure autorun and distribution
Sets the following service settings
  • [<HKLM>\System\CurrentControlSet\Services\Client32] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Client32] 'ImagePath' = '"%ProgramFiles(x86)%\NetSupport\NetSupport Manager\client32.exe" /* * '
  • [<HKLM>\System\CurrentControlSet\Services\PCISys] 'Start' = '00000001'
  • [<HKLM>\System\CurrentControlSet\Services\PCISys] 'ImagePath' = 'system32\drivers\pcisys.sys'
  • [<HKLM>\System\CurrentControlSet\Services\gdihook5] 'Start' = '00000001'
  • [<HKLM>\System\CurrentControlSet\Services\gdihook5] 'ImagePath' = 'system32\DRIVERS\gdihook5.sys'
Creates the following services
  • 'Client32' "%ProgramFiles(x86)%\NetSupport\NetSupport Manager\client32.exe" /* *
  • 'PCISys' system32\drivers\pcisys.sys
  • 'gdihook5' system32\DRIVERS\gdihook5.sys
Malicious functions
Executes the following
  • '<SYSTEM32>\net.exe' Stop NSWebFilterDriver
Modifies file system
Creates the following files
  • %TEMP%\clientbinsanet_v12_80\client32.ini
  • %ProgramFiles(x86)%\netsupport\netsupport manager\deskdup.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pscrinst64.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nspscr.inf
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nspscr.cat
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nspscr.sys
  • %ProgramFiles(x86)%\netsupport\netsupport manager\gdihook5.cat
  • %ProgramFiles(x86)%\netsupport\netsupport manager\gdihook5.inf
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsclient32ui.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\toastchat.png
  • %ProgramFiles(x86)%\netsupport\netsupport manager\toastmessage.png
  • %ProgramFiles(x86)%\netsupport\netsupport manager\toastimageandtext.png
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nstoast.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\clhook4.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nspowershell.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\ismetro.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nskbfltr2.sys
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nskbfltr.sys
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcicapi.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pscrinst.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcicfgui_client.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\volumecontrolwvi.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\wdfcoinstaller01005.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nskbfltr.inf
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcisys.sys
  • %ProgramFiles(x86)%\netsupport\netsupport manager\x64\gdihook5.sys
  • %ProgramFiles(x86)%\netsupport\netsupport manager\x64\gdihook5.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\volumecontrolwxp.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\logo.png
  • %ProgramFiles(x86)%\netsupport\netsupport manager\audiocapture.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32.upd
  • <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
  • %ProgramFiles(x86)%\netsupport\netsupport manager\dbi.exe
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\setd683.tmp
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\setd579.tmp
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\setd3e2.tmp
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\setd2b9.tmp
  • %WINDIR%\temp\uddc226.tmp
  • <SYSTEM32>\pcisys.ntk
  • <DRIVERS>\nskbfltr2.sys
  • <DRIVERS>\nskbfltr.sys
  • <SYSTEM32>\client32provider.dll
  • <DRIVERS>\pcisys.sys
  • <SYSTEM32>\clhook4.dll
  • %WINDIR%\syswow64\pcimsg.dll
  • %WINDIR%\installer\{879de57f-1557-4521-936c-bbcabb465ec5}\arpproducticon.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\checkdvd.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsm.lic
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32.ini
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32u.ini
  • %ProgramFiles(x86)%\netsupport\netsupport manager\mfc100u.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\msvcr100.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\msvcp100.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\mfc100.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\product.dat
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsm.ini
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsm32.chm
  • %ProgramFiles(x86)%\netsupport\netsupport manager\supporttool.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\shfolder.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\winst64.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcichek.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pciconn.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\winstall.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\startlogo.bmp
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pciimage.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsmexec.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\injlib.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\htctl32.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\cryptpak.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\control.kbd
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32.exe
  • %TEMP%\~9ba4.tmp
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\client32u.ini
  • %TEMP%\dll_{879de57f-1557-4521-936c-bbcabb465ec5}.ini
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\client32.upd
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\client32.ini
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\ns.inf
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\readnsm.chm
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcicl32.dll
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\nsm.lic
  • %TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\netsupport manager.msi
  • %TEMP%\~c1f8.tmp
  • %TEMP%\~c1e7.tmp
  • %TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\0x040a.ini
  • %TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\setup.ini
  • %TEMP%\~b941.tmp
  • %TEMP%\~b75d.tmp
  • %TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\_ismsidel.ini
  • %TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\setup.exe
  • %TEMP%\clientbinsanet_v12_80\nsm.lic
  • %TEMP%\clientbinsanet_v12_80\setup.exe
  • %TEMP%\clientbinsanet_v12_80\nsm.ini
  • %TEMP%\clientbinsanet_v12_80\client32u.ini
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\product.dat
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\broken.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\verified.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pciinv.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\unknown.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\redbar.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\printer2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\network2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\keyboard2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\header.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\greenbar.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\disk2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\cpu2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\computer2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\btn_up_grey.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\btn_up.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\btn_down_grey.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32provider.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\btn_down.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\baseboard.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\bar.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\amberbar.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\inv\video2.gif
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcihtmlgen.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\icoviewer.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\nsmres.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcictl.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\tcctl32.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\remcmdstub.exe
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcivdd.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcires.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcimsg.dll
  • %ProgramFiles(x86)%\netsupport\netsupport manager\pcihooks.dll
  • %WINDIR%\temp\udd17a6.tmp
Sets the 'hidden' attribute to the following files
  • <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
Deletes the following files
  • %TEMP%\~b75d.tmp
  • %TEMP%\~b941.tmp
  • %TEMP%\~c1e7.tmp
  • %TEMP%\~c1f8.tmp
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\client32.upd
  • %WINDIR%\temp\uddc226.tmp
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\gdihook5.cat
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\gdihook5.inf
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\gdihook5.dll
  • %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\gdihook5.sys
  • %WINDIR%\temp\udd17a6.tmp
  • %ProgramFiles(x86)%\netsupport\netsupport manager\client32.upd
  • %TEMP%\~9ba4.tmp
Moves the following files
  • from %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\setd2b9.tmp to %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\gdihook5.dll
  • from %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\setd3e2.tmp to %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\x64\gdihook5.sys
  • from %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\setd579.tmp to %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\gdihook5.cat
  • from %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\setd683.tmp to %TEMP%\{6bc5d16b-755c-237a-61a4-281f33106679}\gdihook5.inf
Modifies the following files
Substitutes the following files
  • %TEMP%\{879de57f-1557-4521-936c-bbcabb465ec5}\client32.upd
Network activity
Connects to
  • 'microsoft.com':80
  • 'oc##.#ectigo.com':80
  • 'cr#.#ectigo.com':80
TCP
HTTP GET requests
  • http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
  • http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBQ5suEceKjAJbxseAmHFkQ9FrhTWQQUDuE6qFM6MdWKvsG7rWcaA4WtNA4CEQDs%2BQHAtntMbHpC3xCQ0ETd
  • http://cr#.#ectigo.com/SectigoRSACodeSigningCA.crl
UDP
  • DNS ASK microsoft.com
  • DNS ASK oc##.#ectigo.com
  • DNS ASK cr#.#ectigo.com
Miscellaneous
Searches for the following windows
  • ClassName: 'EDIT' WindowName: ''
  • ClassName: 'NSConnSvrUI' WindowName: ''
  • ClassName: 'RUNPLUGIN [loggedonuser]' WindowName: 'PCIRUNPLUGIN [loggedonuser]'
  • ClassName: 'NSMWClass' WindowName: ''
  • ClassName: 'RUNPLUGIN' WindowName: 'PCIRUNPLUGIN'
  • ClassName: 'NSMWControl32' WindowName: ''
  • ClassName: 'PCIRemoteInstall' WindowName: ''
  • ClassName: 'NSSWControl32' WindowName: ''
  • ClassName: 'PCIVideoPlayer32' WindowName: ''
  • ClassName: 'ScriptWClass' WindowName: ''
  • ClassName: 'PCISAClass' WindowName: ''
  • ClassName: 'NSMRunSCript' WindowName: ''
Creates and executes the following
  • '%TEMP%\clientbinsanet_v12_80\setup.exe' /S /v/qn
  • '%TEMP%\{a4c1359e-46bb-437a-9569-37d94545a44f}\setup.exe' /q"%TEMP%\clientbinsanet_v12_80\setup.exe" /tempdisk1folder"%TEMP%\{A4C1359E-46BB-437A-9569-37D94545A44F}" /S /v/qn /IS_temp
  • '%WINDIR%\installer\msi94b0.tmp' /G"%ProgramFiles(x86)%\NetSupport\NetSupport Manager\" /EU
  • '%WINDIR%\installer\msia720.tmp' /G"%ProgramFiles(x86)%\NetSupport\NetSupport Manager\" /EU
  • '%ProgramFiles(x86)%\netsupport\netsupport manager\checkdvd.exe'
  • '%WINDIR%\installer\msib535.tmp' /G"%ProgramFiles(x86)%\NetSupport\NetSupport Manager\" /EV"NetSupport School" /EF".\Log Files" /EF".\Bookmarks" /EF".\Tests" /EF".\Store" /EF".\inv" /EF".\Resources" /EF".\Help" /EF".\Image" /E...
  • '%ProgramFiles(x86)%\netsupport\netsupport manager\winst64.exe' /q /q /ex /i
  • '%ProgramFiles(x86)%\netsupport\netsupport manager\client32.exe' /* *
  • '%ProgramFiles(x86)%\netsupport\netsupport manager\pcicfgui_client.exe' /Q "%ProgramFiles(x86)%\NetSupport\NetSupport Manager\Client32.ini"
  • '%ProgramFiles(x86)%\netsupport\netsupport manager\client32.exe' * /VistaUI
Executes the following
  • '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\{A4C1359E-46BB-437A-9569-37D94545A44F}\NetSupport Manager.msi" /qn SETUPEXEDIR="%TEMP%\clientbinsanet_v12_80" SETUPEXENAME="setup.exe"
  • '<SYSTEM32>\cmd.exe' /c ATTRIB -R "%TEMP%\{879DE57F-1557-4521-936C-BBCABB465EC5}\\nsm.lic"
  • '%WINDIR%\syswow64\attrib.exe' -R "%TEMP%\{879DE57F-1557-4521-936C-BBCABB465EC5}\\nsm.lic"
  • '<SYSTEM32>\net1.exe' Stop NSWebFilterDriver
  • '<SYSTEM32>\net.exe' Start NSWebFilterDriver
  • '<SYSTEM32>\net1.exe' Start NSWebFilterDriver

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play