Trojan.MulDrop9.39830

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PPTModule' = '<Полный путь к файлу> -h'

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\config.ini
%APPDATA%\ptsandf\config.ini
%APPDATA%\ptsandf\mininews.exe
%APPDATA%\ptsandf\tipnews.exe
%APPDATA%\ptsandf\updates.exe
%APPDATA%\ptsandf\richmtip.exe
%APPDATA%\ptsandf\sn.exe
%HOMEPATH%\cookies\user@707891[1].txt
%HOMEPATH%\cookies\user@mdsu.707891[1].txt
<LS_APPDATA>\temp\title_ppt.png
<LS_APPDATA>\temp\title_top_ppt.png
%HOMEPATH%\cookies\user@mmstat[1].txt
%HOMEPATH%\cookies\user@gimini[1].txt
%HOMEPATH%\cookies\user@www.gimini[1].txt
<LS_APPDATA>\temp\qsduq.exe

Сетевая активность

TCP

Запросы HTTP GET

http://to#####.box.720891.com/count.do?sc########################################################################################################################################################...
http://www.gi##ni.cn/mini/statics/common/js/jquery.xDomain.js
http://gg#####.box.720891.com/pinforesults.do?sc#########################################################################################################
http://www.gi##ni.cn/mini/statics/common/js/jquery.base64.js
http://www.gi##ni.cn/mini/statics/common/js/jquery.cookie.js
http://www.gi##ni.cn/mini/statics/common/js/jquery.min.js
http://www.gi##ni.cn/mini/statics/assets/images/toggle_nav.png
http://www.gi##ni.cn/mini/statics/assets/css/index.css?v=#
http://www.gi##ni.cn/rm3/statics/js/fmt_new.min.js?v3
http://www.gi##ni.cn/mini/index.html?si####
http://oh##.jdypf.com/Install/image/ding_ppt_0726_900.png
http://www.gi##ni.cn/rm3/statics/images/2.png
http://www.gi##ni.cn/mini/statics/assets/js/index.js?v=####
http://www.gi##ni.cn/rm3/statics/images/1.png
http://oh##.jdypf.com/Install/image/pptheng_0726_900.png
http://www.gi##ni.cn/rm3/statics/js/jquery.xdomainrequest.min.js
http://as####.giocdn.com/2.1/gio.js
http://www.gi##ni.cn/rm3/statics/js/jquery-1.8.3.min.js
http://www.gi##ni.cn/rm3/statics/css/style.min.css
http://www.gi##ni.cn/rm3/index.html?si####
http://bo##.720891.com/api/tempip.ashx?ac##########################
http://mi#####e.51duokai.com/cgi/STWindowPopConfiguration.ashx/videodesktop/getlist?mi###################
http://md##.707891.com/pop-up/icon/c_lose.png
http://md##.707891.com/pop-up/kkrd_ppt.html
http://pp####.720891.com/pptmaster/ptcuu.ini
http://www.gi##ni.cn/rm3/statics/js/divscroll.min.js
http://oh##.jdypf.com/pptmaster/FdsdfitAssistance_PT.exe

UDP

DNS ASK to#####.box.720891.com
DNS ASK z1#.#nzz.com
DNS ASK cn##.mmstat.com
DNS ASK s9.#nzz.com
DNS ASK oh##.jdypf.com
DNS ASK c.##zz.com
DNS ASK z7.#nzz.com
DNS ASK as####.giocdn.com
DNS ASK gi##ni.cn
DNS ASK s1#.#nzz.com
DNS ASK mi#####e.51duokai.com
DNS ASK md##.707891.com
DNS ASK bo##.720891.com
DNS ASK ba##u.com
DNS ASK gg#####.box.720891.com
DNS ASK pp####.720891.com
DNS ASK s4.#nzz.com
DNS ASK z3.#nzz.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\ptsandf\mininews.exe'
'%APPDATA%\ptsandf\tipnews.exe'
'%APPDATA%\ptsandf\updates.exe'
'%APPDATA%\ptsandf\richmtip.exe'
'%APPDATA%\ptsandf\sn.exe'
'<LS_APPDATA>\temp\qsduq.exe'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android