Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.MulDrop9.50718
Добавлен в вирусную базу Dr.Web:
2019-08-10
Описание добавлено:
2019-08-12
Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
[<HKLM>\System\CurrentControlSet\Services\KITSvc] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\KITSvc] 'ImagePath' = '"<SYSTEM32>\KITSvc\KITSvc.exe"'
Вредоносные функции
Запускает на исполнение
'<SYSTEM32>\net.exe' stop "KITSvc"
Изменения в файловой системе
Создает следующие файлы
%TEMP%\is-1k7ke.tmp\<Имя файла>.tmp
<SYSTEM32>\kitsvc\system\loaderexecutables\x86\is-nq0fp.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-2meuk.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-0u5g3.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-8j5bm.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-ogoaq.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-l91gm.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-vab1c.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-njcl0.tmp
<SYSTEM32>\kitsvc\system\loaderexecutables\is-lp2dl.tmp
<SYSTEM32>\kitsvc\system\loaderexecutables\x64\is-o7ksf.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-5lmog.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-vtig8.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-02qfm.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-87ef3.tmp
<SYSTEM32>\unins000.msg
<SYSTEM32>\unins000.dat
<SYSTEM32>\kitsvc\installutil.installlog
<SYSTEM32>\kitsvc\kitsvc.installlog
<SYSTEM32>\kitsvc\kitsvc.installstate
<SYSTEM32>\kitsvc\system\loadermodules\is-ajrg8.tmp
<SYSTEM32>\kitsvc\system\loadermodules\is-olm67.tmp
<SYSTEM32>\kitsvc\system\loaderexecutables\is-aoecb.tmp
<SYSTEM32>\kitsvc\system\loaderconfigs\firstlaunchmodule.cfg
<SYSTEM32>\kitsvc\system\loaderconfigs\is-avkjl.tmp
<SYSTEM32>\services.cfg
<SYSTEM32>\is-f1kkg.tmp
<SYSTEM32>\kitsvc\is-iuo44.tmp
<SYSTEM32>\kitsvc\is-h09hk.tmp
<SYSTEM32>\kitsvc\config\is-ev8ha.tmp
<SYSTEM32>\kitsvc\executables\is-jiit1.tmp
<SYSTEM32>\kitsvc\executables\is-52rpr.tmp
<SYSTEM32>\kitsvc\executables\x64\is-scpl6.tmp
<SYSTEM32>\kitsvc\executables\x64\is-0cdm2.tmp
%TEMP%\is-r5pbb.tmp\<Имя файла>.tmp
<SYSTEM32>\kitsvc\executables\x86\is-sgjjp.tmp
<SYSTEM32>\kitsvc\system\is-3f7rq.tmp
<SYSTEM32>\kitsvc\system\is-ekrq7.tmp
<SYSTEM32>\kitsvc\system\is-katnf.tmp
<SYSTEM32>\kitsvc\system\is-d8642.tmp
<SYSTEM32>\kitsvc\system\is-l7i68.tmp
<SYSTEM32>\kitsvc\system\is-fh11g.tmp
<SYSTEM32>\kitsvc\system\is-lnfqs.tmp
<SYSTEM32>\kitsvc\system\is-c4og2.tmp
<SYSTEM32>\kitsvc\system\heartbeatconfigs\is-a6599.tmp
<SYSTEM32>\kitsvc\executables\x86\is-1526i.tmp
<SYSTEM32>\kitsvc\config\deviceid.cfg
%TEMP%\selfdelete2.bat
Удаляет следующие файлы
%TEMP%\is-1k7ke.tmp\<Имя файла>.tmp
%TEMP%\is-r5pbb.tmp\<Имя файла>.tmp
Перемещает следующие файлы
<SYSTEM32>\is-f1kkg.tmp в <SYSTEM32>\unins000.exe
<SYSTEM32>\kitsvc\system\loaderexecutables\is-aoecb.tmp в <SYSTEM32>\kitsvc\system\loaderexecutables\xbrowserconfigchecker.exe
<SYSTEM32>\kitsvc\system\loaderexecutables\is-lp2dl.tmp в <SYSTEM32>\kitsvc\system\loaderexecutables\xloaderauto.exe
<SYSTEM32>\kitsvc\system\loaderexecutables\x64\is-o7ksf.tmp в <SYSTEM32>\kitsvc\system\loaderexecutables\x64\sqlite.interop.dll
<SYSTEM32>\kitsvc\system\loaderexecutables\x86\is-nq0fp.tmp в <SYSTEM32>\kitsvc\system\loaderexecutables\x86\sqlite.interop.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-2meuk.tmp в <SYSTEM32>\kitsvc\system\loadermodules\algorithmcommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-0u5g3.tmp в <SYSTEM32>\kitsvc\system\loadermodules\collectcommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-8j5bm.tmp в <SYSTEM32>\kitsvc\system\loadermodules\constantsmodule.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-ogoaq.tmp в <SYSTEM32>\kitsvc\system\loadermodules\deletecommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-l91gm.tmp в <SYSTEM32>\kitsvc\system\loadermodules\downloadcommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-vab1c.tmp в <SYSTEM32>\kitsvc\system\loadermodules\firstlaunchmodule.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-njcl0.tmp в <SYSTEM32>\kitsvc\system\loadermodules\heartbeatcommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-5lmog.tmp в <SYSTEM32>\kitsvc\system\loadermodules\loadercommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-ajrg8.tmp в <SYSTEM32>\kitsvc\system\loadermodules\runcommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-olm67.tmp в <SYSTEM32>\kitsvc\system\loadermodules\selfupdatecommand.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-vtig8.tmp в <SYSTEM32>\kitsvc\system\loadermodules\servicecommand.dll
<SYSTEM32>\kitsvc\system\loaderconfigs\is-avkjl.tmp в <SYSTEM32>\kitsvc\system\loaderconfigs\firstlaunchmodule.cfg
<SYSTEM32>\kitsvc\system\loadermodules\is-02qfm.tmp в <SYSTEM32>\kitsvc\system\loadermodules\systemcommand.dll
<SYSTEM32>\kitsvc\system\heartbeatconfigs\is-a6599.tmp в <SYSTEM32>\kitsvc\system\heartbeatconfigs\heartbeathash.cfg
<SYSTEM32>\kitsvc\system\is-lnfqs.tmp в <SYSTEM32>\kitsvc\system\xreversesocks5proxycore.dll
<SYSTEM32>\kitsvc\is-iuo44.tmp в <SYSTEM32>\kitsvc\xsystemcore.dll
<SYSTEM32>\kitsvc\is-h09hk.tmp в <SYSTEM32>\kitsvc\kitsvc.exe
<SYSTEM32>\kitsvc\config\is-ev8ha.tmp в <SYSTEM32>\kitsvc\config\urls.cfg
<SYSTEM32>\kitsvc\executables\is-jiit1.tmp в <SYSTEM32>\kitsvc\executables\chromedriver.exe
<SYSTEM32>\kitsvc\executables\is-52rpr.tmp в <SYSTEM32>\kitsvc\executables\microsoftwebdriver.exe
<SYSTEM32>\kitsvc\executables\x64\is-scpl6.tmp в <SYSTEM32>\kitsvc\executables\x64\geckodriver.exe
<SYSTEM32>\kitsvc\executables\x64\is-0cdm2.tmp в <SYSTEM32>\kitsvc\executables\x64\operadriver.exe
<SYSTEM32>\kitsvc\executables\x86\is-sgjjp.tmp в <SYSTEM32>\kitsvc\executables\x86\geckodriver.exe
<SYSTEM32>\kitsvc\executables\x86\is-1526i.tmp в <SYSTEM32>\kitsvc\executables\x86\operadriver.exe
<SYSTEM32>\kitsvc\system\is-3f7rq.tmp в <SYSTEM32>\kitsvc\system\xheartbeat.dll
<SYSTEM32>\kitsvc\system\is-ekrq7.tmp в <SYSTEM32>\kitsvc\system\xhider.dll
<SYSTEM32>\kitsvc\system\is-katnf.tmp в <SYSTEM32>\kitsvc\system\xloader.dll
<SYSTEM32>\kitsvc\system\is-d8642.tmp в <SYSTEM32>\kitsvc\system\xloadercore.dll
<SYSTEM32>\kitsvc\system\is-l7i68.tmp в <SYSTEM32>\kitsvc\system\xreverserdp.dll
<SYSTEM32>\kitsvc\system\is-fh11g.tmp в <SYSTEM32>\kitsvc\system\xreversesocks5proxy.dll
<SYSTEM32>\kitsvc\system\is-c4og2.tmp в <SYSTEM32>\kitsvc\system\xwall.dll
<SYSTEM32>\kitsvc\system\loadermodules\is-87ef3.tmp в <SYSTEM32>\kitsvc\system\loadermodules\taskscommand.dll
Самоудаляется.
Другое
Создает и запускает на исполнение
'%TEMP%\is-1k7ke.tmp\<Имя файла>.tmp' /SL5="$800E0,21098250,485888,<Полный путь к файлу>"
'%TEMP%\is-r5pbb.tmp\<Имя файла>.tmp' /SL5="$200AC,21098250,485888,<Полный путь к файлу>" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART
'<SYSTEM32>\kitsvc\kitsvc.exe' --install
'<SYSTEM32>\kitsvc\kitsvc.exe'
'<Полный путь к файлу>' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART' (со скрытым окном)
'<SYSTEM32>\net.exe' stop "KITSvc"' (со скрытым окном)
'<SYSTEM32>\kitsvc\kitsvc.exe' --install' (со скрытым окном)
'<SYSTEM32>\sc.exe' failure "KITSvc" reset= 0 actions= restart/5000' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C ""%TEMP%\SelfDelete2.bat""' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\net1.exe' stop "KITSvc"
'<SYSTEM32>\sc.exe' failure "KITSvc" reset= 0 actions= restart/5000
'<SYSTEM32>\cmd.exe' /C ""%TEMP%\SelfDelete2.bat""
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK