Trojan.Siggen2.56722

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'p2ie470' = '%APPDATA%\kx0378r.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\kx0378r.exe -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

Запускает на исполнение:

<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\5xb4y7f32.bat"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mdinstall.inf
%APPDATA%\5xb4y7f32.bat
%APPDATA%\kx0378r.exe
%APPDATA%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\MouseDriver.bat

Удаляет следующие файлы:

%APPDATA%\mdinstall.inf

Самоудаляется.

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android