Trojan.DownLoader4.52680

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '741b' = '%APPDATA%\m5bw8pr.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\m5bw8pr.exe -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

Запускает на исполнение:

<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\skyrlv2qq.bat"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mdinstall.inf
%APPDATA%\skyrlv2qq.bat
%APPDATA%\m5bw8pr.exe
%APPDATA%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\MouseDriver.bat

Удаляет следующие файлы:

%APPDATA%\mdinstall.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'w.#####ardiscover.com':888

UDP:

DNS ASK w.#####ardiscover.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android