Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.MulDrop9.33548

Добавлен в вирусную базу Dr.Web: 2019-07-20

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
  • [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] '' = ''
  • [<HKLM>\Software\Classes\exefile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\cfxxefile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\comfile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\cmdfile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\batfile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\piffile\shell\open\command] '' = '"%1" %*'
  • [<HKLM>\Software\Classes\.bat] '' = 'batfile'
  • [<HKLM>\Software\Classes\.cmd] '' = 'cmdfile'
  • [<HKLM>\Software\Classes\.pif] '' = 'piffile'
  • [<HKLM>\Software\Classes\.com] '' = 'comfile'
  • [<HKLM>\Software\Classes\.exe] '' = 'exefile'
  • [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
  • Компонент восстановления системы (SR)
Изменения в файловой системе
Создает следующие файлы
  • C:\32788r22fwjfw\license\curl - license.txt
  • C:\32788r22fwjfw\policies.dat
  • C:\32788r22fwjfw\purity.dat
  • C:\32788r22fwjfw\rclink.dat
  • C:\32788r22fwjfw\region.dat
  • C:\32788r22fwjfw\rogues.dat
  • C:\32788r22fwjfw\safeboot.dat
  • C:\32788r22fwjfw\safeboot.def.dat
  • C:\32788r22fwjfw\safeboot.def.vista.dat
  • C:\32788r22fwjfw\svc_wht.dat
  • C:\32788r22fwjfw\svchost.dat
  • C:\32788r22fwjfw\svchost.vista.dat
  • C:\32788r22fwjfw\system_ini.dat
  • C:\32788r22fwjfw\vistareg.dat
  • C:\32788r22fwjfw\w2kreg.dat
  • C:\32788r22fwjfw\xpreg.dat
  • C:\32788r22fwjfw\networkservice.dat
  • C:\32788r22fwjfw\sed.cfxxe
  • C:\32788r22fwjfw\netsvc.xp.dat
  • C:\32788r22fwjfw\netsvc.dat
  • C:\32788r22fwjfw\swsc.cfxxe
  • C:\32788r22fwjfw\swxcacls.cfxxe
  • C:\32788r22fwjfw\tail.cfxxe
  • C:\32788r22fwjfw\zip.cfxxe
  • C:\32788r22fwjfw\nircmd.chm
  • C:\32788r22fwjfw\023.dat
  • C:\32788r22fwjfw\023v.dat
  • C:\32788r22fwjfw\creg.dat
  • C:\32788r22fwjfw\cregc.dat
  • C:\32788r22fwjfw\fin.dat
  • C:\32788r22fwjfw\localservice.dat
  • C:\32788r22fwjfw\localservicenetworkrestricted.dat
  • C:\32788r22fwjfw\localsystemnetworkrestricted.dat
  • C:\32788r22fwjfw\ndis_combofix.dat
  • C:\32788r22fwjfw\netsvc.bad.dat
  • C:\32788r22fwjfw\netsvc.vista.dat
  • C:\32788r22fwjfw\setpath.cfxxe
  • C:\32788r22fwjfw\zdomain.dat
  • C:\32788r22fwjfw\erdntwin.loc
  • C:\32788r22fwjfw\osid.vbs
  • C:\32788r22fwjfw\restore_pt.vbs
  • C:\32788r22fwjfw\svcdrv.vbs
  • C:\32788r22fwjfw\wmi_rem.vbs
  • C:\32788r22fwjfw\image001.gif
  • C:\32788r22fwjfw\license\pv_5_2_2.zip
  • C:\32788r22fwjfw\badclsid.c
  • C:\32788r22fwjfw\license\streamtools.zip
  • C:\32788r22fwjfw\prep.done
  • C:\bug.txt
  • C:\32788r22fwjfw\pv.exe
  • C:\32788r22fwjfw\pv.txt
  • C:\32788r22fwjfw\pev.cfxxe
  • C:\32788r22fwjfw\nircmdb.exe
  • C:\32788r22fwjfw\av.vbs
  • C:\32788r22fwjfw\lnkread.vbs
  • C:\32788r22fwjfw\erdnt.e_e
  • C:\32788r22fwjfw\zhsvc.dat
  • C:\32788r22fwjfw\asp.str
  • C:\32788r22fwjfw\erunt.loc
  • C:\32788r22fwjfw\srizbi.md5
  • C:\32788r22fwjfw\files.pif
  • C:\32788r22fwjfw\md5sum.pif
  • C:\32788r22fwjfw\md5sum00.pif
  • C:\32788r22fwjfw\n.pif
  • C:\32788r22fwjfw\exe.reg
  • C:\32788r22fwjfw\ddsdo.sed
  • C:\32788r22fwjfw\embedded.sed
  • C:\32788r22fwjfw\regdacl.sed
  • C:\32788r22fwjfw\regdo.sed
  • C:\32788r22fwjfw\run2.sed
  • C:\32788r22fwjfw\toolbar.sed
  • C:\32788r22fwjfw\dpf.str
  • C:\32788r22fwjfw\erdntdos.loc
  • C:\32788r22fwjfw\rust.str
  • C:\32788r22fwjfw\nircmdc.cfxxe
  • C:\32788r22fwjfw\nircmd.cfxxe
  • C:\32788r22fwjfw\ncmd.cfxxe
  • C:\32788r22fwjfw\nd_.bat
  • C:\32788r22fwjfw\setenvmt.bat
  • C:\32788r22fwjfw\assoc.cmd
  • C:\32788r22fwjfw\auto-rc.cmd
  • C:\32788r22fwjfw\av.cmd
  • C:\32788r22fwjfw\awf.cmd
  • C:\32788r22fwjfw\boot-rk.cmd
  • C:\32788r22fwjfw\catch-sub.cmd
  • C:\32788r22fwjfw\cf-script.cmd
  • C:\32788r22fwjfw\create.cmd
  • C:\32788r22fwjfw\cregc.cmd
  • C:\32788r22fwjfw\cset.cmd
  • C:\32788r22fwjfw\fd-sv.cmd
  • C:\32788r22fwjfw\fkmgen.cmd
  • C:\32788r22fwjfw\list.bat
  • C:\32788r22fwjfw\gethive.cmd
  • C:\32788r22fwjfw\list-d.bat
  • C:\32788r22fwjfw\list-b.bat
  • C:\32788r22fwjfw\license\dumphive-license.txt
  • C:\32788r22fwjfw\license\extract.txt
  • C:\32788r22fwjfw\license\fi - license.txt
  • C:\32788r22fwjfw\license\mtee.txt.txt
  • C:\32788r22fwjfw\license\zip - license.txt
  • C:\32788r22fwjfw\license\unxutilsdist.html
  • C:\32788r22fwjfw\boot.bat
  • C:\32788r22fwjfw\c.bat
  • C:\32788r22fwjfw\combobatch.bat
  • C:\32788r22fwjfw\delclsid.bat
  • C:\32788r22fwjfw\find3m.bat
  • C:\32788r22fwjfw\fixlsp.bat
  • C:\32788r22fwjfw\history.bat
  • C:\32788r22fwjfw\kollect.bat
  • C:\32788r22fwjfw\lang.bat
  • C:\32788r22fwjfw\list-c.bat
  • C:\32788r22fwjfw\install-rc.cmd
  • C:\32788r22fwjfw\moveit.bat
  • C:\32788r22fwjfw\katch.cmd
  • C:\32788r22fwjfw\w2k_sock.dll
  • C:\32788r22fwjfw\vinfo
  • C:\32788r22fwjfw\appinit.bad
  • C:\32788r22fwjfw\aspackdie.cfxxe
  • C:\32788r22fwjfw\catchme.cfxxe
  • C:\32788r22fwjfw\combofix-download.cfxxe
  • C:\32788r22fwjfw\dd.cfxxe
  • C:\32788r22fwjfw\dumphive.cfxxe
  • C:\32788r22fwjfw\erunt.cfxxe
  • C:\32788r22fwjfw\extract.cfxxe
  • C:\32788r22fwjfw\grep.cfxxe
  • C:\32788r22fwjfw\gsar.cfxxe
  • C:\32788r22fwjfw\handle.cfxxe
  • C:\32788r22fwjfw\mtee.cfxxe
  • C:\32788r22fwjfw\w_sock.dll
  • C:\32788r22fwjfw\ffdefstr.dll
  • C:\32788r22fwjfw\combo-fix.sys
  • C:\32788r22fwjfw\forcelibrary.dll
  • C:\32788r22fwjfw\bootsect.dll
  • C:\32788r22fwjfw\kill-all.cmd
  • C:\32788r22fwjfw\prep.cmd
  • C:\32788r22fwjfw\regscan.cmd
  • C:\32788r22fwjfw\rkey.cmd
  • C:\32788r22fwjfw\snapshot.cmd
  • C:\32788r22fwjfw\srestore.cmd
  • C:\32788r22fwjfw\suppscan.cmd
  • C:\32788r22fwjfw\osver
  • %WINDIR%\syswow64\cmd.execf
  • C:\32788r22fwjfw\update-cf.cmd
  • C:\32788r22fwjfw\prep.inf
  • C:\32788r22fwjfw\pv.com
  • C:\32788r22fwjfw\hidec.exe
  • C:\32788r22fwjfw\iexplore.exe
  • C:\32788r22fwjfw\pev.exe
  • C:\32788r22fwjfw\swreg.exe
  • C:\32788r22fwjfw\nt-os.cmd
  • C:\32788r22fwjfw\clsid.c
  • C:\32788r22fwjfw\osver00
Перемещает следующие файлы
  • C:\32788r22fwjfw\pv.exe в C:\32788r22fwjfw\pv.cfxxe
Другое
Ищет следующие окна
  • ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
  • 'C:\32788r22fwjfw\iexplore.exe' win close ititle " Security"
  • 'C:\32788r22fwjfw\swreg.exe' ACL "hklm\software\microsoft\windows nt\currentversion\windows" /RO:F /RA:F /Q
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\SWREG.exe acl "hklm\software\microsoft\windows nt\currentversion\windows" /DE:F /Q
  • 'C:\32788r22fwjfw\n.pif' cmdwait 3000 exec hide 32788R22FWJFW\swreg.exe acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /reset /q
  • 'C:\32788r22fwjfw\n.pif' exec hide 32788R22FWJFW\GSAR.cfxxe -if -s\:000M:000i:000c:000r:000o -r\:001M:000i:000c:000r:000o "<SYSTEM32>\cmd.exe" "<SYSTEM32>\cmd.execf"
  • 'C:\32788r22fwjfw\nircmd.cfxxe' exec hide 32788R22FWJFW\GSAR.cfxxe -if -s\:000M:000i:000c:000r:000o -r\:001M:000i:000c:000r:000o "<SYSTEM32>\cmd.exe" "<SYSTEM32>\cmd.execf"
  • 'C:\32788r22fwjfw\n.pif' cmdwait 1000 exec hide "<SYSTEM32>\cmd.execf" /c 32788R22FWJFW\prep.cmd >\Bug.txt 2>&1
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /reset /q
  • 'C:\32788r22fwjfw\nircmd.cfxxe' cmdwait 1700 exec hide "<SYSTEM32>\cmd.execf" /c 32788R22FWJFW\prep.cmd
  • 'C:\32788r22fwjfw\n.pif' cmdwait 2500 exec hide "<SYSTEM32>\cmd.execf" /c 32788R22FWJFW\prep.cmd
  • 'C:\32788r22fwjfw\swreg.exe' QUERY "hklm\software\microsoft\windows nt\currentversion" /v currentversion
  • 'C:\32788r22fwjfw\gsar.cfxxe' -if -s\:000M:000i:000c:000r:000o -r\:001M:000i:000c:000r:000o "<SYSTEM32>\cmd.exe" "<SYSTEM32>\cmd.execf"
  • 'C:\32788r22fwjfw\nircmd.cfxxe' killprocess "<Полный путь к файлу>"
  • 'C:\32788r22fwjfw\nircmd.cfxxe' killprocess n.pif
  • 'C:\32788r22fwjfw\pev.exe' UZIP 32788R22FWJFW\License\pv_5_2_2.zip 32788R22FWJFW\
  • 'C:\32788r22fwjfw\pv.cfxxe' -kf *.pif nircmd.* ANDRE.EXE TOLO.exe Merlin.scr jalang.exe jalangkung.exe jantungan.exe DOSEN.exe C3W3K4MPUS.exe cmd.exe
  • 'C:\32788r22fwjfw\grep.cfxxe' -F "5.2." OsVer
  • 'C:\32788r22fwjfw\grep.cfxxe' -F "5.1.2" OsVer
  • 'C:\32788r22fwjfw\grep.cfxxe' -F "6.0.6" OsVer
  • 'C:\32788r22fwjfw\grep.cfxxe' -F "5.00.2" OsVer
  • '%WINDIR%\syswow64\cmd.execf' /c 32788R22FWJFW\prep.cmd >\Bug.txt 2>&1
  • '%WINDIR%\syswow64\cmd.execf' /c 32788R22FWJFW\prep.cmd
  • 'C:\32788r22fwjfw\n.pif' exec hide 32788R22FWJFW\pv.com -kf PAVRM.exe "*Antivirus*Pro.exe" svchast.exe winupdate.exe 1*.exe 9*.exe ANTI_files.exe dbsinit.exe desot.exe aap.exe
  • 'C:\32788r22fwjfw\grep.cfxxe' -sq "currentversion.* 6.0" OsVer00
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\swreg.exe acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /reset /q
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /reset /q
  • 'C:\32788r22fwjfw\swreg.exe' acl "hklm\software\microsoft\windows nt\currentversion\windows" /DE:F /Q
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\SWXCACLS.cfxxe "<SYSTEM32>\cmd.exe" /GE:F /Q
  • 'C:\32788r22fwjfw\iexplore.exe' win close ititle "SysInternals"
  • 'C:\32788r22fwjfw\swreg.exe' ACL "hklm\software\microsoft\windows nt\currentversion\windows" /RESET /Q
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\pev.exe -k * and { *Antivirus*Pro.exe or svchast.exe or winupdate.exe or or ANTI_files.exe or dbsinit.exe or desot.exe or aap.exe or -preg"\d{3,}.exe" }
  • 'C:\32788r22fwjfw\n.pif' shexec install 32788R22FWJFW\Prep.inf
  • 'C:\32788r22fwjfw\pev.exe' -k * and { *Antivirus*Pro.exe or svchast.exe or winupdate.exe or or ANTI_files.exe or dbsinit.exe or desot.exe or aap.exe or -preg"\d{3,}.exe" }
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\swreg.exe import 32788R22FWJFW\EXE.reg
  • 'C:\32788r22fwjfw\n.pif' cmdwait 150 exec hide 32788R22FWJFW\SWREG.exe acl "hklm\software\microsoft\windows nt\currentversion\windows" /DE:F /Q
  • 'C:\32788r22fwjfw\pv.com' -kf PAVRM.exe "*Antivirus*Pro.exe" svchast.exe winupdate.exe 1*.exe 9*.exe ANTI_files.exe dbsinit.exe desot.exe aap.exe
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\swreg.exe acl "HKLM\SOFTWARE\Microsoft\Command Processor" /reset /q
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\SWREG.exe acl "hklm\software\microsoft\windows nt\currentversion\windows" /O Guest /Q
  • 'C:\32788r22fwjfw\n.pif' exec hide 32788R22FWJFW\SWREG.exe acl "hklm\software\microsoft\windows nt\currentversion\windows" /O Guest /Q
  • 'C:\32788r22fwjfw\nircmdb.exe' infobox "Incompatible OS. ComboFix only works for workstations with Windows 2000 and XP~n~nOS incompatible. ComboFix ne fonctionne que pour Windows 2000 et XP~n~nOS niet compatibel. ComboFix ka...
  • 'C:\32788r22fwjfw\swxcacls.cfxxe' "<SYSTEM32>\cmd.exe" /GE:F /Q
  • 'C:\32788r22fwjfw\swreg.exe' import 32788R22FWJFW\EXE.reg
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Command Processor" /reset /q
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /da:r /q
  • 'C:\32788r22fwjfw\swreg.exe' acl "hklm\software\microsoft\windows nt\currentversion\windows" /O Guest /Q
  • 'C:\32788r22fwjfw\hidec.exe' 32788R22FWJFW\swreg.exe acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /da:r /q
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Command Processor" /reset /q' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /reset /q' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' acl "hklm\software\microsoft\windows nt\currentversion\windows" /DE:F /Q' (со скрытым окном)
  • 'C:\32788r22fwjfw\pv.com' -kf PAVRM.exe "*Antivirus*Pro.exe" svchast.exe winupdate.exe 1*.exe 9*.exe ANTI_files.exe dbsinit.exe desot.exe aap.exe' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' acl "hklm\software\microsoft\windows nt\currentversion\windows" /O Guest /Q' (со скрытым окном)
  • '%WINDIR%\syswow64\cmd.execf' /c 32788R22FWJFW\prep.cmd >\Bug.txt 2>&1' (со скрытым окном)
  • 'C:\32788r22fwjfw\gsar.cfxxe' -if -s\:000M:000i:000c:000r:000o -r\:001M:000i:000c:000r:000o "<SYSTEM32>\cmd.exe" "<SYSTEM32>\cmd.execf"' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' import 32788R22FWJFW\EXE.reg' (со скрытым окном)
  • '%WINDIR%\syswow64\cmd.execf' /c 32788R22FWJFW\prep.cmd' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" /da:r /q' (со скрытым окном)
  • 'C:\32788r22fwjfw\pev.exe' -k * and { *Antivirus*Pro.exe or svchast.exe or winupdate.exe or or ANTI_files.exe or dbsinit.exe or desot.exe or aap.exe or -preg"\d{3,}.exe" }' (со скрытым окном)
  • 'C:\32788r22fwjfw\swxcacls.cfxxe' "<SYSTEM32>\cmd.exe" /GE:F /Q' (со скрытым окном)
  • 'C:\32788r22fwjfw\swreg.exe' acl "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /reset /q' (со скрытым окном)
Запускает на исполнение
  • '%WINDIR%\syswow64\infdefaultinstall.exe' "C:\32788R22FWJFW\Prep.inf"
  • '%WINDIR%\syswow64\runonce.exe' -r
  • '%WINDIR%\syswow64\grpconv.exe' -o
  • '%WINDIR%\syswow64\chcp.com' 1252

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке