Trojan.DownLoader4.17057

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'pk6kk6v' = '%APPDATA%\m7ktz.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\m7ktz.exe -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

Запускает на исполнение:

<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\e6kd7goc.bat"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mdinstall.inf
%APPDATA%\e6kd7goc.bat
%APPDATA%\m7ktz.exe
%APPDATA%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\MouseDriver.bat

Удаляет следующие файлы:

%APPDATA%\mdinstall.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'w.#####ardiscover.com':888

UDP:

DNS ASK w.#####ardiscover.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android