Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.Click3.11527
Добавлен в вирусную базу Dr.Web:
2015-04-03
Описание добавлено:
2015-04-03
Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\services\ImageOpt] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
'%TEMP%\GLJE4B4.tmp' %PROGRAM_FILES%\ymLevel2_Taste\Coder2.dll
'%TEMP%\a989\setup3029.exe'
'%TEMP%\GLJE4B4.tmp' %PROGRAM_FILES%\ymLevel2_Taste\DownLoad.dll
'%TEMP%\GLJE4B4.tmp' %PROGRAM_FILES%\ymLevel2_Taste\UnzipDll.dll
'%TEMP%\GLJE4B4.tmp' %PROGRAM_FILES%\ymLevel2_Taste\MFC71.dll
'%TEMP%\a989\winRun.exe'
'<SYSTEM32>\gins.exe' /p-90911/s-9782/leoaedo
'%TEMP%\a989\LavaGame_2.2_2051.exe'
'%TEMP%\GLBE37B.tmp' 4736 %TEMP%\a989\WL0421~1.EXE
'%TEMP%\a989\wl0421290.EXE'
Запускает на исполнение:
'%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.qq##.info/cjtest/conf.jsp?v=#######################################
'%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.em##ey.cn/salesinfo/sales/dcwj/index.html?si###############
Изменяет следующие настройки браузера Windows Internet Explorer:
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
%TEMP%\~DF162B4AF89A05F22A.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{4F52E142-DA11-11E4-B006-98FCA8AD23F3}.dat
%TEMP%\~DF2B95A2DFBFA4D260.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{4F52E140-DA11-11E4-B006-98FCA8AD23F3}.dat
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\dnserror[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\NewErrorPageTemplate[1]
%TEMP%\~DF4652F435ABA31E9C.TMP
%PROGRAM_FILES%\ymLevel2_Taste\INSTALL.LOG
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{4E627646-DA11-11E4-B006-98FCA8AD23F3}.dat
%HOMEPATH%\Desktop\ТжГЛІЩЕМКЦ.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\Р¶ФШТжГЛІЩЕМКЦ.lnk
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ТжГЛИнјю\ТжГЛІЩЕМКЦ\ТжГЛІЩЕМКЦ.lnk
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{4E627644-DA11-11E4-B006-98FCA8AD23F3}.dat
%TEMP%\~DF605902688BF619B0.TMP
%PROGRAM_FILES%\ymLevel2_Taste\UNWISE.INI
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ТжГЛІЩЕМКЦ.lnk
%TEMP%\~DFF9FFD02E06473A55.TMP
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\NewErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Internet Explorer\imagestore\g1bfg6d\imagestore.dat
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{81417EBF-DA11-11E4-B006-98FCA8AD23F3}.dat
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{8A81F7EF-DA11-11E4-B006-98FCA8AD23F3}.dat
%TEMP%\~DF449BC7851C574FFD.TMP
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\httpErrorPagesScripts[1]
%APPDATA%\Roaming\Microsoft\Protect\S-1-5-21-2832440558-3064306045-1455513625-1000\ebb613d7-71fd-43f2-83be-4a4c934e791d
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\dnserror[2]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\NewErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\httpErrorPagesScripts[1]
<Служебный элемент>
%TEMP%\a989\PPTV(pplive)_forgy_0004.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\httpErrorPagesScripts[1]
%TEMP%\nsxDE9D.tmp\System.dll
%TEMP%\djhist.log
%TEMP%\nsxDE9D.tmp\djcomm.dll
%TEMP%\djruncon.log
%TEMP%\nsxDE9D.tmp\io3.ini
%TEMP%\nsxDE9D.tmp\licenseDNA.rtf
%TEMP%\nsxDE9D.tmp\ad.bmp
%TEMP%\nsxDE9D.tmp\left.bmp
%TEMP%\nsxDE9C.tmp
%TEMP%\a989\stpcfgf.pdf
%TEMP%\a989\wl0421290.EXE
<SYSTEM32>\gins.exe
<SYSTEM32>\JeepImage.sys
%TEMP%\a989\winRun.exe
%TEMP%\myothello.exe
%TEMP%\a989\setup3029.exe
%TEMP%\a989\LavaGame_2.2_2051.exe
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\temp.000
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP
%TEMP%\GLBE37B.tmp
%TEMP%\GLCE474.tmp
%TEMP%\nsxDE9D.tmp\license.rtf
%TEMP%\nsxDE9D.tmp\NSISdl.dll
%TEMP%\GLGEF03.tmp
%TEMP%\~GLH0000.TMP
%TEMP%\GLJE4B4.tmp
%TEMP%\GLKE6B8.tmp
Удаляет следующие файлы:
%TEMP%\GLJE4B4.tmp
%TEMP%\GLKE6B8.tmp
%TEMP%\GLGEF03.tmp
%TEMP%\GLBE37B.tmp
%TEMP%\GLCE474.tmp
%TEMP%\GLFEF23.tmp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0007.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0004.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0002.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000d.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000b.TMP
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0009.TMP
Перемещает следующие файлы:
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0003.TMP в %PROGRAM_FILES%\ymLevel2_Taste\Coder2.dll
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0006.TMP в %PROGRAM_FILES%\ymLevel2_Taste\L2Host.dat
%PROGRAM_FILES%\ymLevel2_Taste\~GLH000f.TMP в %PROGRAM_FILES%\ymLevel2_Taste\offLogo.mht
%TEMP%\~GLH0000.TMP в %TEMP%\GLFEF23.tmp
%PROGRAM_FILES%\ymLevel2_Taste\~GLH0001.TMP в %PROGRAM_FILES%\ymLevel2_Taste\UNWISE.EXE
%PROGRAM_FILES%\ymLevel2_Taste\temp.000 в %PROGRAM_FILES%\ymLevel2_Taste\~GLH0003.TMP
Сетевая активность:
UDP:
DNS ASK dn#.##ftncsi.com
DNS ASK www.qq##.info
DNS ASK ie#####e.microsoft.com
DNS ASK ie#####t.microsoft.com
DNS ASK d2.###rotect.net
DNS ASK do####ad.lava.cn
DNS ASK www.em##ey.cn
DNS ASK go.###rosoft.com
Другое:
Ищет следующие окна:
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '' WindowName: 'Run'
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK