Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader4.7039
Добавлен в вирусную базу Dr.Web:
2011-07-09
Описание добавлено:
2011-07-09
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '7q47qeh' = '%APPDATA%\0uobg.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\bdutyu.dll",Startup'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\2707141120] 'Name' = '"%TEMP%\5.tmp"'
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
%APPDATA%\0uobg.exe -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
"%TEMP%\yttwulhw.exe" (загружен из сети Интернет)
"%TEMP%\ukrycny.exe" (загружен из сети Интернет)
"%TEMP%\nohfx.exe" (загружен из сети Интернет)
"%TEMP%\750234914" (загружен из сети Интернет)
"%TEMP%\qwutu.exe" (загружен из сети Интернет)
"%TEMP%\pshha.exe" (загружен из сети Интернет)
"%TEMP%\mish.exe" (загружен из сети Интернет)
"%TEMP%\xqcwsah.exe" (загружен из сети Интернет)
Запускает на исполнение:
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\rundll32.exe "%WINDIR%\bdutyu.dll",iep
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\leslfovk.bat"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\rundll32.exe "%WINDIR%\bdutyu.dll",Startup
<SYSTEM32>\svchost.exe
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
Внедряет код в
следующие системные процессы:
Изменяет следующие настройки браузера Windows Internet Explorer:
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
%TEMP%\yttwulhw.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\sjwxkob[1].php
%APPDATA%\mdinstall.inf
%APPDATA%\MouseDriver.bat
%WINDIR%\Temp\6.tmp
%TEMP%\mish.exe
%TEMP%\ukrycny.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\dnnrvriqm[1].php
%TEMP%\Rlb..bat
%TEMP%\750234914
%WINDIR%\unexayugupid.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\CAAZY72P.php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\nnbrswmqa[1].php
%APPDATA%\leslfovk.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\erfjjje[1].php
%TEMP%\nohfx.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\flcppgggu[1].php
%TEMP%\nsd3.tmp\1EuroP.exe
%TEMP%\nsd3.tmp\IR.exe
%WINDIR%\bdutyu.dll
%TEMP%\nsd3.tmp\6tbp.exe
%TEMP%\nsd3.tmp\boappsdl.exe
%TEMP%\nsy2.tmp
%TEMP%\nsd3.tmp\3E4U - Bucks.exe
%TEMP%\nsd3.tmp\2IC.exe
%APPDATA%\0uobg.exe
%TEMP%\qwutu.exe
%TEMP%\xqcwsah.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\arboobnkar[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\xtkkbspt[1].php
%TEMP%\4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\qduhhl[1].php
%TEMP%\pshha.exe
Присваивает атрибут 'скрытый' для следующих файлов:
%APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
<DRIVERS>\etc\hosts
%TEMP%\5.tmp
%WINDIR%\Temp\6.tmp
<SYSTEM32>\svchost.exe
%APPDATA%\mdinstall.inf
%TEMP%\nsd3.tmp\IR.exe
%TEMP%\nsd3.tmp\2IC.exe
%TEMP%\nsd3.tmp\1EuroP.exe
%TEMP%\nsd3.tmp\3E4U - Bucks.exe
%TEMP%\nsd3.tmp\boappsdl.exe
%TEMP%\nsd3.tmp\6tbp.exe
Сетевая активность:
Подключается к:
'11######0718.centizzy.net':80
'w.#####ardiscover.com':888
'localhost':1041
'aa###ket.com':80
'ki##kind.in':80
TCP:
Запросы HTTP GET:
aa###ket.com/ckkuylpycc/nnbrswmqa.php?ad################################
aa###ket.com/ckkuylpycc/sjwxkob.php?ad################################
aa###ket.com/ckkuylpycc/erfjjje.php?ad################################
aa###ket.com/ckkuylpycc/oobbff.php?ad################################
aa###ket.com/ckkuylpycc/dhdhuy.php?ad################################
aa###ket.com/ckkuylpycc/xtkkbspt.php?ad################################
aa###ket.com/ckkuylpycc/qduhhl.php?ad################################
aa###ket.com/ckkuylpycc/arboobnkar.php?ad################################
aa###ket.com/ckkuylpycc/dnnrvriqm.php?ad################################
aa###ket.com/ckkuylpycc/flcppgggu.php?ad################################
Запросы HTTP POST:
ki##kind.in/?in##############################################################################################################
UDP:
DNS ASK ki##kind.in
DNS ASK 11######0718.centizzy.net
DNS ASK w.#####ardiscover.com
DNS ASK aa###ket.com
DNS ASK ik##.com
DNS ASK si###ell.com
DNS ASK go##le.ae
Другое:
Ищет следующие окна:
ClassName: 'Indicator' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'SystemTray_Main' WindowName: ''
ClassName: 'CSCHiddenWindow' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK