Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.MulDrop9.49064
Добавлен в вирусную базу Dr.Web:
2019-08-08
Описание добавлено:
2019-08-12
Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
[<HKLM>\System\CurrentControlSet\Services\FSProFilter] 'Start' = '00000000'
[<HKLM>\System\CurrentControlSet\Services\FSProFilter] 'ImagePath' = 'System32\Drivers\FSPFltd.sys'
[<HKLM>\System\CurrentControlSet\Services\fsproflt] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\fsproflt] 'ImagePath' = '<SYSTEM32>\fsproflt.exe'
Изменения в файловой системе
Создает следующие файлы
%TEMP%\rarsfx0\hf2009_setup.exe
%ProgramFiles%\hide folders 2009\langs\is-89i83.tmp
%ProgramFiles%\hide folders 2009\langs\is-8umhc.tmp
%ProgramFiles%\hide folders 2009\langs\is-vctc2.tmp
%ProgramFiles%\hide folders 2009\langs\is-guuem.tmp
%ProgramFiles%\hide folders 2009\langs\is-vl6e4.tmp
%ProgramFiles%\hide folders 2009\langs\is-kb36g.tmp
%ProgramFiles%\hide folders 2009\langs\is-nt38k.tmp
%ProgramFiles%\hide folders 2009\langs\is-71na4.tmp
%ProgramFiles%\hide folders 2009\langs\is-kg3m3.tmp
%ProgramFiles%\hide folders 2009\langs\is-itssg.tmp
%HOMEPATH%\start menu\programs\hide folders 2009\hide folders 2009 homepage....lnk
%HOMEPATH%\start menu\programs\hide folders 2009\buy hide folders 2009 now!.lnk
%HOMEPATH%\start menu\programs\hide folders 2009\hide folders 2009.lnk
%HOMEPATH%\start menu\programs\hide folders 2009\hide folders 2009 help.lnk
%HOMEPATH%\start menu\programs\hide folders 2009\uninstall hide folders 2009.lnk
%HOMEPATH%\desktop\hide folders 2009.lnk
%ProgramFiles%\hide folders 2009\unins000.msg
%ProgramFiles%\hide folders 2009\langs\is-ul3e5.tmp
%ProgramFiles%\hide folders 2009\langs\is-8vcdm.tmp
<SYSTEM32>\is-fo4hj.tmp
<DRIVERS>\is-i4hmb.tmp
%ProgramFiles%\hide folders 2009\is-hv6nu.tmp
%TEMP%\rarsfx0\install.cmd
%TEMP%\rarsfx0\regcode.reg
%TEMP%\rarsfx0\register.exe
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\fspflt.dll
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\pass_change.exe
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\readme.txt
%TEMP%\is-beq80.tmp\hf2009_setup.tmp
%TEMP%\is-m5e2n.tmp\_isetup\_regdll.tmp
%TEMP%\rarsfx0\hidcon.exe
%TEMP%\is-m5e2n.tmp\_isetup\_shfoldr.dll
%ProgramFiles%\hide folders 2009\is-4nb40.tmp
%ProgramFiles%\hide folders 2009\is-983ck.tmp
%ProgramFiles%\hide folders 2009\is-nq830.tmp
%ProgramFiles%\hide folders 2009\is-300b7.tmp
%ProgramFiles%\hide folders 2009\is-3k5df.tmp
%ProgramFiles%\hide folders 2009\is-bf1n3.tmp
%ProgramFiles%\hide folders 2009\is-fa5uc.tmp
%ProgramFiles%\hide folders 2009\is-jokn3.tmp
%TEMP%\is-m5e2n.tmp\_isetup\_iscrypt.dll
%ProgramFiles%\hide folders 2009\unins000.dat
%ProgramFiles%\hide folders 2009\hf.exe
Удаляет следующие файлы
%ProgramFiles%\hide folders 2009\license.txt
%TEMP%\is-m5e2n.tmp\_isetup\_iscrypt.dll
%TEMP%\is-m5e2n.tmp\_isetup\_regdll.tmp
%TEMP%\is-m5e2n.tmp\_isetup\_shfoldr.dll
%TEMP%\is-beq80.tmp\hf2009_setup.tmp
%TEMP%\rarsfx0\hf2009_setup.exe
%TEMP%\rarsfx0\hidcon.exe
%TEMP%\rarsfx0\install.cmd
%TEMP%\rarsfx0\regcode.reg
%TEMP%\rarsfx0\register.exe
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\fspflt.dll
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\pass_change.exe
%TEMP%\rarsfx0\ГҐa«úaГЎВјВјГЎ Г±ВЅn ГџГa«ßá ВєГЎГdg«ú« ȇa«½n\readme.txt
Перемещает следующие файлы
%ProgramFiles%\hide folders 2009\is-4nb40.tmp в %ProgramFiles%\hide folders 2009\unins000.exe
%ProgramFiles%\hide folders 2009\langs\is-itssg.tmp в %ProgramFiles%\hide folders 2009\langs\spanish[la].lng
%ProgramFiles%\hide folders 2009\langs\is-nt38k.tmp в %ProgramFiles%\hide folders 2009\langs\spanish.lng
%ProgramFiles%\hide folders 2009\langs\is-kb36g.tmp в %ProgramFiles%\hide folders 2009\langs\russian.lng
%ProgramFiles%\hide folders 2009\langs\is-vl6e4.tmp в %ProgramFiles%\hide folders 2009\langs\portuguese.lng
%ProgramFiles%\hide folders 2009\langs\is-guuem.tmp в %ProgramFiles%\hide folders 2009\langs\german.lng
%ProgramFiles%\hide folders 2009\langs\is-vctc2.tmp в %ProgramFiles%\hide folders 2009\langs\french.lng
%ProgramFiles%\hide folders 2009\langs\is-8umhc.tmp в %ProgramFiles%\hide folders 2009\langs\finnish.lng
%ProgramFiles%\hide folders 2009\langs\is-89i83.tmp в %ProgramFiles%\hide folders 2009\langs\english.lng
%ProgramFiles%\hide folders 2009\langs\is-kg3m3.tmp в %ProgramFiles%\hide folders 2009\langs\danish.lng
%ProgramFiles%\hide folders 2009\langs\is-71na4.tmp в %ProgramFiles%\hide folders 2009\langs\arabic.lng
<SYSTEM32>\is-fo4hj.tmp в <SYSTEM32>\fsproflt.exe
<DRIVERS>\is-i4hmb.tmp в <DRIVERS>\fspfltd.sys
%ProgramFiles%\hide folders 2009\is-hv6nu.tmp в %ProgramFiles%\hide folders 2009\buynow.url
%ProgramFiles%\hide folders 2009\is-jokn3.tmp в %ProgramFiles%\hide folders 2009\homepage.url
%ProgramFiles%\hide folders 2009\is-fa5uc.tmp в %ProgramFiles%\hide folders 2009\whatsnew.txt
%ProgramFiles%\hide folders 2009\is-3k5df.tmp в %ProgramFiles%\hide folders 2009\license.txt
%ProgramFiles%\hide folders 2009\is-300b7.tmp в %ProgramFiles%\hide folders 2009\fspflt.dll
%ProgramFiles%\hide folders 2009\is-nq830.tmp в %ProgramFiles%\hide folders 2009\hf.chm
%ProgramFiles%\hide folders 2009\is-983ck.tmp в %ProgramFiles%\hide folders 2009\hf.exe
%ProgramFiles%\hide folders 2009\langs\is-ul3e5.tmp в %ProgramFiles%\hide folders 2009\langs\polish.lng
%ProgramFiles%\hide folders 2009\langs\is-8vcdm.tmp в %ProgramFiles%\hide folders 2009\langs\macedonian.lng
Подменяет следующие файлы
%ProgramFiles%\hide folders 2009\license.txt
Другое
Ищет следующие окна
ClassName: 'EDIT' WindowName: ''
ClassName: 'THF2009MainForm' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
'%TEMP%\rarsfx0\hidcon.exe' install.cmd
'%TEMP%\rarsfx0\hf2009_setup.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%TEMP%\is-beq80.tmp\hf2009_setup.tmp' /SL5="$200B0,1223813,53248,%TEMP%\RarSFX0\hf2009_setup.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'<SYSTEM32>\fsproflt.exe'
'%TEMP%\rarsfx0\register.exe'
'<SYSTEM32>\sc.exe' stop fsproflt' (со скрытым окном)
'<SYSTEM32>\sc.exe' create FSProFilter binPath= System32\Drivers\FSPFltd.sys Type= filesys start= boot DisplayName= "FSPro File Filter" group= "FSFilter Content Screener" depend= FltMgr tag= yes' (со скрытым окном)
'<SYSTEM32>\fltMc.exe' load FSProFilter' (со скрытым окном)
'<SYSTEM32>\sc.exe' create fsproflt binPath= <SYSTEM32>\fsproflt.exe DisplayName= "FSPro Filter Service" Start= Auto' (со скрытым окном)
'<SYSTEM32>\sc.exe' start fsproflt' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\cmd.exe' /c install.cmd
'<SYSTEM32>\sc.exe' stop fsproflt
'<SYSTEM32>\sc.exe' create FSProFilter binPath= System32\Drivers\FSPFltd.sys Type= filesys start= boot DisplayName= "FSPro File Filter" group= "FSFilter Content Screener" depend= FltMgr tag= yes
'<SYSTEM32>\fltMc.exe' load FSProFilter
'<SYSTEM32>\sc.exe' create fsproflt binPath= <SYSTEM32>\fsproflt.exe DisplayName= "FSPro Filter Service" Start= Auto
'<SYSTEM32>\sc.exe' start fsproflt
'%WINDIR%\regedit.exe' /s RegCode.reg
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK