Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader29.65512
Добавлен в вирусную базу Dr.Web:
2019-08-08
Описание добавлено:
2019-08-12
Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33...
[<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c...
[<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c...
[<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c...
[<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c...
[<HKLM>\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,6d,33,32,5c...
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
<SYSTEM32>\Гøâç»·¾³.dll
<SYSTEM32>\espi11.dll
Сетевая активность
TCP
Запросы HTTP GET
http://www.cf##nge.com/wwwroot/js/efdc4f99-0b15-4cfa-a0c0-cee30a4a13a1-head.js
http://www.cf##nge.com/images/lefttitle.jpg
http://www.cf##nge.com/images/leftli1.jpg
http://www.cf##nge.com/images/leftli2.jpg
http://www.cf##nge.com/images/contact.jpg
http://www.cf##nge.com/images/left_tel.png
http://www.cf##nge.com/images/left_map.png
http://www.cf##nge.com/images/icons1.jpg
http://www.cf##nge.com/images/links.jpg
http://www.cf##nge.com/pic/2018010209471262153_s.jpg
http://www.9h##44.com/0.9378801080536666
http://www.44##.vip/0.12122196284642772
http://www.33##.vip/0.6304091291855685
http://www.66##.vip/0.8666764385453195
http://www.9h##2.vip/0.34375405677236337
http://www.9h##33.com/0.6299691966457099
http://www.44##9.com/0.7034439210960342
http://www.9h##22.com/0.6435719074584848
http://www.cf##nge.com/
http://www.cf##nge.com/images/marquee.jpg
http://www.cf##nge.com/images/search.jpg
http://www.cf##nge.com/images/fixed.jpg
http://www.cf##nge.com/images/ewm.jpg
http://www.cf##nge.com/uploadfile/honor/2019040310402712456.jpg
http://www.cf##nge.com/css/master.css
http://www.cf##nge.com/css/skins/default/jbox.css
http://www.cf##nge.com/css/demo.css
http://www.cf##nge.com/css/flexslider.css
http://www.cf##nge.com/wwwroot/js/efdc4f99-0b15-4cfa-a0c0-cee30a4a13a1-tj.js
http://www.cf##nge.com/upfile/qr/qrcode.png
http://www.cf##nge.com/images/logo.png
http://www.cf##nge.com/images/top_word.jpg
http://www.cf##nge.com/favicon.ico
http://www.9h##.vip/0.19894091655020063
http://www.cf##nge.com/uploadfile/honor/2016012816562949322.jpg
http://www.cf##nge.com/images/new.png
http://www.cf##nge.com/pic/2019052210054533952_s.jpg
http://www.cf##nge.com/pic/2019052209270611418_s.jpg
http://www.cf##nge.com/pic/2018071515442210779_s.jpg
http://www.cf##nge.com/pic/2018071515385615057_s.jpg
http://www.cf##nge.com/images/img2.jpg
http://www.cf##nge.com/uploadfile/honor/2019040310091439296.jpg
http://www.cf##nge.com/uploadfile/honor/2019040310060469118.jpg
http://www.cf##nge.com/css/global.css
http://www.cf##nge.com/pic/2019052215591044982_s.jpg
http://ap#.##are.baidu.com/s.gif?l=#######################
UDP
DNS ASK cf##nge.com
DNS ASK hm.##idu.com
DNS ASK 9h##.com
DNS ASK js.##ers.51.la
DNS ASK ap#.##are.baidu.com
DNS ASK 44##.vip
DNS ASK 9h##.vip
DNS ASK 33##.vip
DNS ASK 9h##44.com
DNS ASK 44##9.com
DNS ASK 9h##2.vip
DNS ASK 9h##33.com
DNS ASK 66##.vip
DNS ASK 9h##22.com
DNS ASK ia.#1.la
Другое
Ищет следующие окна
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'Microsoft Internet Explorer'
Создает и запускает на исполнение
'<SYSTEM32>\netsh.exe' winsock reset' (со скрытым окном)
Запускает на исполнение
'%ProgramFiles%\mozilla firefox\firefox.exe' -osint -url "http://www.cf##nge.com/"
'<SYSTEM32>\netsh.exe' winsock reset
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK