Защити созданное

Другие наши ресурсы

  • free.drweb.ru — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.ru — сетевая лечащая утилита Dr.Web CureNet!
  • www.drweb.ru/web-iq — ВебIQметр
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум | Бот самоподдержки Telegram

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype Telegram

Свяжитесь с нами

Профиль

Профиль

Trojan.StartPage1.58172

Добавлен в вирусную базу Dr.Web: 2019-10-05

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
  • <SYSTEM32>\tasks\53719
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\startup\desktop.ini
Создает следующие сервисы
  • [<HKLM>\system\currentcontrolset\services\TermService\parameters] 'ServiceDLL' = '%WINDIR%\help\tmp5211.dat'
  • [<HKLM>\System\CurrentControlSet\Services\TermService] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы
  • <SYSTEM32>\unregmp2.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
  • скрытых файлов
  • расширений файлов
Изменяет следующие настройки браузера Windows Internet Explorer
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = '{01,00,00,00}'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'PMDisplayName' = 'Internet [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'Description' = 'This zone contains all Web sites you haven't...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'Icon' = 'inetcpl.cpl#001313'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'LowIcon' = 'inetcpl.cpl#005425'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '00011500'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'Flags' = '00000001'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '' = ''
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'DisplayName' = 'Restricted sites'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'PMDisplayName' = 'Restricted sites [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'Description' = 'This zone contains Web sites that could pote...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'Icon' = 'inetcpl.cpl#00004481'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'LowIcon' = 'inetcpl.cpl#005426'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'CurrentLevel' = '00012000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'Flags' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1200' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2007' = '00010000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1200' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1200' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1200' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1400' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1400' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1400' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2500' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'DisplayName' = 'Computer'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'PMDisplayName' = 'Computer [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonZoneCrossing' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '2007' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2007' = '00010000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2007' = '00010000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'DisplayName' = 'Internet'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1200' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '' = ''
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'CurrentLevel' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1400' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1C00' = '00000000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = '{1a,37,61,59,23,5...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000001'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = '{1a,37,61,59,23,5...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = '{1a,37,61,59,23,5...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A10' = '00000003'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = '{1a,37,61,59,23,5...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '' = ''
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'DisplayName' = 'My Computer'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'PMDisplayName' = 'My Computer [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'Description' = 'Your computer'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'Icon' = 'shell32.dll#0016'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'LowIcon' = 'inetcpl.cpl#005422'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] 'Flags' = '00000021'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'CurrentLevel' = '00011000'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '' = ''
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'DisplayName' = 'Local intranet'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'PMDisplayName' = 'Local intranet [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'Description' = 'This zone contains all Web sites that are on...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'Icon' = 'shell32.dll#0018'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'LowIcon' = 'inetcpl.cpl#005423'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'CurrentLevel' = '00010500'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'Flags' = '00000143'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '' = ''
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'DisplayName' = 'Trusted sites'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'PMDisplayName' = 'Trusted sites [Protected Mode]'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'Description' = 'This zone contains Web sites that you trust ...
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'Icon' = 'inetcpl.cpl#00004480'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'LowIcon' = 'inetcpl.cpl#005424'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'Flags' = '00000047'
  • [\REGISTRY\USER\S-1-5-21-1960123792-2022915161-3775307078-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2007' = '00000003'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
  • %TEMP%\nsjdb64.tmp\blowfish.dll
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\administrative tools\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\~ideos.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\~usic.tmp
  • C:\users\wgautilacc\links\desktop.ini
  • C:\users\wgautilacc\saved games\desktop.ini
  • C:\users\wgautilacc\searches\indexed locations.search-ms
  • C:\users\wgautilacc\searches\everywhere.search-ms
  • C:\users\wgautilacc\links\recentplaces.lnk
  • C:\users\wgautilacc\links\desktop.lnk
  • C:\users\wgautilacc\links\downloads.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\~ictures.tmp
  • C:\users\wgautilacc\appdata\local\temp\chrome_installer.log
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\internet explorer (no add-ons).lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\internet explorer.lnk
  • C:\users\wgautilacc\appdata\local\microsoft\internet explorer\brndlog.txt
  • C:\users\wgautilacc\favorites\microsoft websites\ie site on microsoft.com.url
  • C:\users\wgautilacc\favorites\microsoft websites\ie add-on site.url
  • C:\users\wgautilacc\favorites\microsoft websites\microsoft at home.url
  • C:\users\wgautilacc\favorites\microsoft websites\microsoft at work.url
  • C:\users\wgautilacc\favorites\msn websites\msn.url
  • C:\users\wgautilacc\favorites\msn websites\msn sports.url
  • C:\users\wgautilacc\favorites\msn websites\msnbc news.url
  • C:\users\wgautilacc\favorites\msn websites\msn money.url
  • C:\users\wgautilacc\favorites\msn websites\msn entertainment.url
  • C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\google chrome.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\user pinned\taskbar\google chrome.lnk
  • C:\users\wgautilacc\favorites\windows live\windows live mail.url
  • C:\users\wgautilacc\favorites\msn websites\msn autos.url
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\recent\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\04_music_played_in_the_last_month.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\05_pictures_taken_in_the_last_month.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\06_pictures_rated_4_or_5_stars.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\07_tv_recorded_in_the_last_week.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\08_video_rated_at_4_or_5_stars.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\09_music_played_the_most.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\10_all_music.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\11_all_pictures.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\12_all_video.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdkns.xml
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdkns.dtd
  • C:\users\wgautilacc\searches\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\02_music_added_in_the_last_month.wpl
  • C:\users\wgautilacc\downloads\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdkns.xml.bak
  • C:\users\wgautilacc\videos\desktop.ini
  • C:\users\wgautilacc\pictures\desktop.ini
  • C:\users\wgautilacc\desktop\desktop.ini
  • C:\users\wgautilacc\favorites\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\desktop.ini
  • C:\users\wgautilacc\music\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\desktop.ini
  • C:\users\wgautilacc\documents\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\~ocuments.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdknsd.xml
  • C:\users\wgautilacc\appdata\local\microsoft\media player\currentdatabase_372.wmdb
  • C:\users\wgautilacc\appdata\local\microsoft\media player\localmls_3.wmdb
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edbres00001.jrs
  • C:\users\wgautilacc\favorites\windows live\windows live spaces.url
  • C:\users\wgautilacc\appdata\local\temp\~df20f848e1a067fdf6.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\feeds\microsoft feeds~\microsoft at work~.feed-ms
  • C:\users\wgautilacc\appdata\local\temp\~df737a001abbdde7de.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df56c7af799e536366.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfbb3caa88462a2527.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df9c3526ae67501a9f.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df6cec202d3a1c21a1.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfd18e6f600829ef16.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\feeds\microsoft feeds~\msnbc news~.feed-ms
  • C:\users\wgautilacc\appdata\local\temp\~dfab99ddd36428a5bc.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df8bf517f748199719.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfc39cab2b5a637cc5.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df4a5f5dfcded95455.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df39913b4b7909e35c.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df8c4d52a5262759a9.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dff240a38775b7727a.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\feeds\{5588acfd-6436-411b-a5ce-666ae6a92d3d}~\webslices~\web slice gallery~.feed-ms
  • C:\users\wgautilacc\appdata\local\temp\~df20d1ae613042b201.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df7268fca676e5fcc8.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df4b03cec6dfe7a066.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfa2f607fb5218efb0.tmp
  • C:\users\wgautilacc\appdata\local\temp\www393d.tmp
  • C:\users\wgautilacc\appdata\local\temp\www394e.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d06.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d45.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d75.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3da5.tmp
  • C:\users\wgautilacc\favorites\links\web slice gallery.url
  • C:\users\wgautilacc\appdata\local\temp\~df7b78846045219f09.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df677e8fd6ccbe3f92.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df2a0ad237bad4b563.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfd854f1071edca423.tmp
  • C:\users\wgautilacc\favorites\windows live\get windows live.url
  • C:\users\wgautilacc\favorites\links\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\history\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\history\history.ie5\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\index.dat
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\6nhqd4m7\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\89jr8f3p\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\bs44pnd2\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\fdpdwu21\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\cookies\index.dat
  • C:\users\wgautilacc\appdata\local\microsoft\windows\history\history.ie5\index.dat
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\ietldcache\index.dat
  • C:\users\wgautilacc\favorites\microsoft websites\microsoft store.url
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\index.dat
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\q032ido3\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\1pnvo4dt\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\lqv3s2m6\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\m5xaxtjj\desktop.ini
  • C:\users\wgautilacc\appdata\local\temp\~df0a17500a10a38675.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dfdf098add79328801.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\feeds\microsoft feeds~\microsoft at home~.feed-ms
  • C:\users\wgautilacc\appdata\local\temp\~df58f751a694084dbe.tmp
  • C:\users\wgautilacc\appdata\local\temp\~df737511eff8ea7752.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\feeds\feedsstore.feedsdb-ms
  • C:\users\wgautilacc\appdata\local\temp\~dffd710ddd53c4734f.tmp
  • C:\users\wgautilacc\appdata\local\temp\~dffd7ee0adbdf53c14.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\01_music_auto_rated_at_5_stars.wpl
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\media player\sync playlists\en-us\001116b1\03_music_rated_at_4_or_5_stars.wpl
  • C:\users\wgautilacc\appdata\local\temp\wmsetup.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\wrinkled_paper.gif
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\white_chocolate.jpg
  • C:\users\wgautilacc\ntuser.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat.log1
  • C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat
  • C:\users\wgautilacc\ntuser.dat.log1
  • C:\users\wgautilacc\ntuser.pol
  • C:\users\wgautilacc\appdata\local\microsoft\windows\explorer\explorerstartuplog.etl
  • \device\termdd
  • C:\users\wgautilacc\appdata\local\temp\rgicf19.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid3dd.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid41d.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid44c.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\narrator.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\run.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\command prompt.lnk
  • C:\users\wgautilacc\appdata\local\temp\rgid46d.tmp
  • D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1006\desktop.ini
  • C:\users\wgautilacc\contacts\desktop.ini
  • C:\users\wgautilacc\contacts\wgautilacc.contact
  • C:\users\wgautilacc\appdata\local\temp\wgautilacc.bmp
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf61a.tmp
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf63a.tmp
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf64b.tmp
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf67a.tmp
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf6aa.tmp
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint.dll
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint-datafile.dat
  • C:\users\wgautilacc\appdata\local\temp\rgid921.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\themes\transcodedwallpaper.jpg
  • C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1006\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\desktop.ini
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint-pipelineconfig.xml
  • %TEMP%\qeouzmzkvjqeouzmzkvjqeouzmzkvj.ps1
  • %TEMP%\nsjdb64.tmp\system.dll
  • %WINDIR%\help\tmp5211.dat
  • %WINDIR%\help\tmp5212.dat
  • %WINDIR%\help\tmp5213.dat
  • <SYSTEM32>\rfxvmt.dll
  • <SYSTEM32>\microsoft\protect\s-1-5-20\a86efda0-f456-4326-b7f9-5bba7284dab2
  • <SYSTEM32>\microsoft\protect\s-1-5-20\preferred
  • %PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
  • C:\users\wgautilacc\ntuser.dat
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\maintenance\help.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\maintenance\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\private character editor.lnk
  • %TEMP%\changes_7521tg.txt
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\control panel.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\on-screen keyboard.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\windows explorer.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\magnify.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\notepad.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\mail recipient.mapimail
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\fax recipient.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\compressed (zipped) folder.zfsendtotarget
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\desktop (create shortcut).desklink
  • C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\window switcher.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\shows desktop.lnk
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\computer.lnk
  • C:\users\wgautilacc\appdata\local\temp\rgi3e23.tmp
  • C:\users\wgautilacc\favorites\windows live\windows live gallery.url
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edbtmp.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\tmp.edb
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\month_calendar.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\music.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\notebook.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\orange circles.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\orangecircles.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\peacock.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\peacock.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\pine_lumber.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\pretty_peacock.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\psychedelic.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\roses.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\handprints.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\roses.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\monet.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\seyes.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\shadesofblue.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\shorthand.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\small_news.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\soft blue.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\softblue.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\stars.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\stars.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\stucco.gif
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\tanspecks.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\tiki.gif
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\to_do_list.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\sand_paper.jpg
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\ease of access.lnk
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\shades of blue.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\memo.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\hand prints.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\grid_(inch).wmf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb.chk
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\windowsmail.msmessagestore
  • C:\users\wgautilacc\appdata\roaming\microsoft\protect\credhist
  • C:\users\wgautilacc\appdata\roaming\microsoft\protect\s-1-5-21-1960123792-2022915161-3775307078-1006\8292891d-f135-4936-a4b0-b8258998f82b
  • C:\users\wgautilacc\appdata\roaming\microsoft\protect\s-1-5-21-1960123792-2022915161-3775307078-1006\preferred
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\backup\temp\windowsmail.msmessagestore
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\windowsmail.pat
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\backup\temp\edb00001.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\backup\temp\windowsmail.pat
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\account{b49cd796-42e3-4daa-ae6e-59c754f939ab}.oeaccount
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\account{6e11f7bc-3319-4875-96e5-2590eefa1a53}.oeaccount
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\account{9ed7a7b1-3a9b-4b2b-bf3a-17fe4dc5749a}.oeaccount
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\oeold.xml
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\bears.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\blue_gradient.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\cave_drawings.gif
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\connectivity.gif
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\dotted_lines.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\garden.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\garden.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\genko_1.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\genko_2.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\graph.emf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\green bubbles.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\greenbubbles.jpg
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\bears.htm
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\stationery\grid_(cm).wmf
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edbres00002.jrs
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\recent\automaticdestinations\1b4dd67f29cb1962.automaticdestinations-ms
Присваивает атрибут 'скрытый' для следующих файлов
  • C:\users\wgautilacc\ntuser.dat
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\desktop.ini
  • C:\users\wgautilacc\favorites\links\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\6nhqd4m7\desktop.ini
  • C:\users\wgautilacc\links\desktop.ini
  • C:\users\wgautilacc\saved games\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\89jr8f3p\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\history\history.ie5\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\q032ido3\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\1pnvo4dt\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\lqv3s2m6\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\bs44pnd2\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\<INETFILES>\content.ie5\fdpdwu21\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\administrative tools\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\startup\desktop.ini
  • C:\users\wgautilacc\downloads\desktop.ini
  • C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1006\desktop.ini
  • D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1006\desktop.ini
  • C:\users\wgautilacc\contacts\desktop.ini
  • C:\users\wgautilacc\videos\desktop.ini
  • C:\users\wgautilacc\pictures\desktop.ini
  • C:\users\wgautilacc\desktop\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat
  • C:\users\wgautilacc\favorites\desktop.ini
  • C:\users\wgautilacc\music\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\desktop.ini
  • C:\users\wgautilacc\documents\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\recent\desktop.ini
  • C:\users\wgautilacc\searches\desktop.ini
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\feeds cache\m5xaxtjj\desktop.ini
  • C:\users\wgautilacc\appdata\local\microsoft\windows\history\desktop.ini
Удаляет следующие файлы
  • %TEMP%\nsjdb64.tmp\blowfish.dll
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms~rf115d8e.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms~rf115d6f.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\media player\localmls_3.wmdb
  • C:\users\wgautilacc\appdata\local\temp\rgi3e23.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3da5.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d75.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d45.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgi3d06.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\internet explorer.lnk
  • C:\users\wgautilacc\appdata\local\temp\www394e.tmp
  • C:\users\wgautilacc\appdata\local\temp\www393d.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms~rf1125e4.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms~rf1125c5.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms~rf112577.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms~rf115dad.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms~rf112519.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdkns.xml.bak
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\xpssvcs.dll
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint.dll
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint-pipelineconfig.xml
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint-datafile.dat
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\mxdwdrv.dll
  • C:\users\wgautilacc\appdata\local\temp\rgid921.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid46d.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid44c.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid41d.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgid3dd.tmp
  • C:\users\wgautilacc\appdata\local\temp\rgicf19.tmp
  • %TEMP%\changes_7521tg.txt
  • %TEMP%\nsjdb64.tmp\system.dll
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdknsd.xml
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms~rf115dcd.tmp
Перемещает следующие файлы
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf61a.tmp в <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint.dll
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms~rf115d8e.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms~rf115d6f.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms~rf1125e4.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms~rf1125c5.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms~rf112577.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms~rf112519.tmp
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb.log в C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb00001.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edbtmp.log в C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb.log
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint-pipelineconfig.xml в <SYSTEM32>\spool\drivers\x64\3\tsprint-pipelineconfig.xml
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint-datafile.dat в <SYSTEM32>\spool\drivers\x64\3\tsprint-datafile.dat
  • <SYSTEM32>\spool\drivers\x64\3\new\tsprint.dll в <SYSTEM32>\spool\drivers\x64\3\tsprint.dll
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf6aa.tmp в <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\xpssvcs.dll
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf67a.tmp в <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\mxdwdrv.dll
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf64b.tmp в <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint-datafile.dat
  • <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\setf63a.tmp в <SYSTEM32>\spool\drivers\x64\{a86c2a6a-6551-4190-8479-7788d918499d}\tsprint-pipelineconfig.xml
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms~rf115dad.tmp
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms в C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms~rf115dcd.tmp
Подменяет следующие файлы
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edbtmp.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows mail\edb.log
  • C:\users\wgautilacc\appdata\local\microsoft\windows media\12.0\wmsdkns.xml.bak
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\documents.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\pictures.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\videos.library-ms
  • C:\users\wgautilacc\appdata\roaming\microsoft\windows\libraries\music.library-ms
Самоудаляется.
Сетевая активность
UDP
  • DNS ASK gg###opdj44.pw
Другое
Ищет следующие окна
  • ClassName: 'CicLoaderWndClass' WindowName: ''
  • ClassName: 'Progman' WindowName: ''
  • ClassName: 'Proxy Desktop' WindowName: ''
  • ClassName: 'PersonalizationThemeChangeListener' WindowName: ''
  • ClassName: 'SystemTray_Main' WindowName: ''
  • ClassName: 'OutlookExpressHiddenWindow' WindowName: ''
Создает и запускает на исполнение
  • '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -f %TEMP%\QEOUZMZKVJQEOUZMZKVJQEOUZMZKVJ.ps1
  • '<SYSTEM32>\cmd.exe' /c powershell -ep bypass -f %TEMP%\QEOUZMZKVJQEOUZMZKVJQEOUZMZKVJ.ps1' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc Ghasar4f5 /del' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc lx5WXXEv /add' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" dkmxoshw$ /ADD' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Administrators" WgaUtilAcc /ADD' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc lx5WXXEv' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C schtasks /create /tn 53719 /tr "powershell -nop -ep bypass -f %WINDIR%\help\80275.ps1" /ru system /sc hourly /mo 1' (со скрытым окном)
  • '<SYSTEM32>\userinit.exe' ' (со скрытым окном)
  • '%WINDIR%\syswow64\rundll32.exe' advpack.dll,LaunchINFSectionEx <SYSTEM32>\ieuinit.inf,Install,,36' (со скрытым окном)
  • '<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSectionEx <SYSTEM32>\ieuinit.inf,Install,,36' (со скрытым окном)
Запускает на исполнение
  • '<SYSTEM32>\cmd.exe' /c powershell -ep bypass -f %TEMP%\QEOUZMZKVJQEOUZMZKVJQEOUZMZKVJ.ps1
  • '<SYSTEM32>\net1.exe' user WgaUtilAcc lx5WXXEv
  • '<SYSTEM32>\cmd.exe' /C schtasks /create /tn 53719 /tr "powershell -nop -ep bypass -f %WINDIR%\help\80275.ps1" /ru system /sc hourly /mo 1
  • '<SYSTEM32>\schtasks.exe' /create /tn 53719 /tr "powershell -nop -ep bypass -f %WINDIR%\help\80275.ps1" /ru system /sc hourly /mo 1
  • '<SYSTEM32>\smss.exe' 00000000 0000003c
  • '<SYSTEM32>\csrss.exe' ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitializa...
  • '<SYSTEM32>\winlogon.exe'
  • '<SYSTEM32>\rdpclip.exe'
  • '<SYSTEM32>\userinit.exe'
  • '%WINDIR%\explorer.exe'
  • '%WINDIR%\syswow64\ie4uinit.exe' -BaseSettings
  • '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
  • '%WINDIR%\syswow64\rundll32.exe' advpack.dll,LaunchINFSectionEx <SYSTEM32>\ieuinit.inf,Install,,36
  • '<SYSTEM32>\regsvr32.exe' /s /n /i:/UserInstall <SYSTEM32>\themeui.dll
  • '<SYSTEM32>\rundll32.exe' uxtheme.dll,#64 %WINDIR%\resources\Themes\Aero\Aero.msstyles?NormalColor?NormalSize
  • '%ProgramFiles(x86)%\windows mail\winmail.exe' OCInstallUserConfigOE
  • '%ProgramFiles%\windows mail\winmail.exe' OCInstallUserConfigOE
  • '<SYSTEM32>\unregmp2.exe' /FirstLogon /Shortcuts /RegBrowsers /ResetMUI
  • '<SYSTEM32>\regsvr32.exe' /s /n /i:U shell32.dll
  • '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\SysWOW64\mscories.dll,Install
  • '%ProgramFiles(x86)%\google\chrome\application\42.0.2311.135\installer\chrmstp.exe' --configure-user-settings --verbose-logging --system-level --multi-install --chrome
  • '%WINDIR%\syswow64\ie4uinit.exe' -UserIconConfig
  • '%WINDIR%\syswow64\ie4uinit.exe' -ClearIconCache
  • '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\SysWOW64\iedkcs32.dll",BrandIEActiveSetup SIGNUP
  • '<SYSTEM32>\ie4uinit.exe' -BaseSettings
  • '<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSectionEx <SYSTEM32>\ieuinit.inf,Install,,36
  • '<SYSTEM32>\rundll32.exe' <SYSTEM32>\mscories.dll,Install
  • '<SYSTEM32>\ie4uinit.exe' -UserIconConfig
  • '<SYSTEM32>\net.exe' user WgaUtilAcc lx5WXXEv
  • '<SYSTEM32>\ie4uinit.exe' -ClearIconCache
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc lx5WXXEv
  • '<SYSTEM32>\net.exe' LOCALGROUP "Administrators" WgaUtilAcc /ADD
  • '<SYSTEM32>\takeown.exe' /A /F rfxvmt.dll
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /inheritance:d
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /setowner "NT SERVICE\TrustedInstaller"
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /grant "NT SERVICE\TrustedInstaller:F"
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /remove "NT AUTHORITY\SYSTEM"
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /grant "NT AUTHORITY\SYSTEM:RX"
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /remove BUILTIN\Administrators
  • '<SYSTEM32>\icacls.exe' rfxvmt.dll /grant BUILTIN\Administrators:RX
  • '<SYSTEM32>\reg.exe' ADD "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x1C21 /f
  • '<SYSTEM32>\reg.exe' add HKLM\system\currentcontrolset\services\TermService\parameters /v ServiceDLL /t REG_EXPAND_SZ /d %WINDIR%\help\tmp5211.dat /f
  • '<SYSTEM32>\net.exe' localgroup Administrators "NT AUTHORITY\NETWORK SERVICE" /add
  • '<SYSTEM32>\net1.exe' localgroup Administrators "NT AUTHORITY\NETWORK SERVICE" /add
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc Ghasar4f5 /del
  • '<SYSTEM32>\cmd.exe' /c del %temp%\*.ps1 /f
  • '<SYSTEM32>\net.exe' user WgaUtilAcc Ghasar4f5 /del
  • '<SYSTEM32>\net1.exe' user WgaUtilAcc Ghasar4f5 /del
  • '<SYSTEM32>\cmd.exe' /c del %temp%\*.txt /f
  • '<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc lx5WXXEv /add
  • '<SYSTEM32>\net.exe' user WgaUtilAcc lx5WXXEv /add
  • '<SYSTEM32>\net1.exe' user WgaUtilAcc lx5WXXEv /add
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
  • '<SYSTEM32>\net.exe' LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
  • '<SYSTEM32>\net1.exe' LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" dkmxoshw$ /ADD
  • '<SYSTEM32>\net.exe' LOCALGROUP "Remote Desktop Users" dkmxoshw$ /ADD
  • '<SYSTEM32>\net1.exe' LOCALGROUP "Remote Desktop Users" dkmxoshw$ /ADD
  • '<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Administrators" WgaUtilAcc /ADD
  • '<SYSTEM32>\net1.exe' LOCALGROUP "Administrators" WgaUtilAcc /ADD
  • '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\iedkcs32.dll",BrandIEActiveSetup SIGNUP

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Dr.Web в Реестре Отечественного ПО

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2019

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125040, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А