Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.Inject3.28652
Добавлен в вирусную базу Dr.Web:
2019-10-18
Описание добавлено:
2019-10-20
Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
[<HKLM>\System\CurrentControlSet\Services\MQAC] 'ImagePath' = 'system32\drivers\mqac.sys'
[<HKLM>\System\CurrentControlSet\Services\MSMQ] 'ImagePath' = '<SYSTEM32>\mqsvc.exe'
[<HKLM>\System\CurrentControlSet\Services\MSMQ] 'Start' = '00000002'
Вредоносные функции
Внедряет код в
следующие системные процессы:
%WINDIR%\syswow64\ocsetup.exe
Изменения в файловой системе
Создает следующие файлы
%APPDATA%\schiebel\~tempkey
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\unattendprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\wimprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\folderprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\intlprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\logprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\msiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\osprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\smiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\transmogprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\wimprovider.dll
<SYSTEM32>\msmq\storage\mqinseqs.lg2
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\wdscore.dll
%WINDIR%\serviceprofiles\networkservice\msmqlog.bin
<SYSTEM32>\msmq\mapping\sample_map.xml
<SYSTEM32>\msmq\mapping\streamreceipt_map.xml
<SYSTEM32>\msmq\mapping\sample_outbound_map.xml
<SYSTEM32>\msmq\storage\lqs\~t~00000002.990736e8.tmp
<SYSTEM32>\msmq\storage\lqs\~t~00000004.4c1eb11b.tmp
<SYSTEM32>\msmq\storage\lqs\~t~00000006.e2f46f06.tmp
<SYSTEM32>\msmq\storage\qmlog
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\transmogprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\unattendprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\smiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismhost.exe
%APPDATA%\schiebel\~langtemp
%APPDATA%\schiebel\~menutemp
%APPDATA%\schiebel\~antriebtemp
%WINDIR%\ocsetup_install_msmq-container;msmq-server.etl
%WINDIR%\ocsetup_cbs_install_msmq-container;msmq-server.txt
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\cbsprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\compatprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismcore.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismcoreps.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismprov.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\msiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dmiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\cbsprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\compatprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dismcore.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dismprov.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dmiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\folderprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\intlprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\logprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\osprovider.dll.mui
<SYSTEM32>\msmq\storage\mqtrans.lg2
Удаляет следующие файлы
%APPDATA%\schiebel\~tempkey
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\msiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\osprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\smiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\transmogprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\unattendprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\wimprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\intlprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\wdscore.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\logprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\msiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\osprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\smiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\transmogprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\unattendprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\logprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\folderprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\intlprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismcoreps.dll
%APPDATA%\schiebel\~langtemp
%APPDATA%\schiebel\~menutemp
%APPDATA%\schiebel\~antriebtemp
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\cbsprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\compatprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismcore.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismhost.exe
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dmiprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismprov.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dmiprovider.dll
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\cbsprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\compatprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dismcore.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\dismprov.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\en-us\folderprovider.dll.mui
%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\wimprovider.dll
Перемещает следующие файлы
<SYSTEM32>\msmq\storage\lqs\~t~00000002.990736e8.tmp в <SYSTEM32>\msmq\storage\lqs\00000002.990736e8
<SYSTEM32>\msmq\storage\lqs\~t~00000004.4c1eb11b.tmp в <SYSTEM32>\msmq\storage\lqs\00000004.4c1eb11b
<SYSTEM32>\msmq\storage\lqs\~t~00000006.e2f46f06.tmp в <SYSTEM32>\msmq\storage\lqs\00000006.e2f46f06
Подменяет следующие файлы
%APPDATA%\schiebel\~tempkey
Другое
Создает и запускает на исполнение
'%TEMP%\4577b447-8015-4e86-a9d6-1b8a82f02984\dismhost.exe' {5452A41E-7D26-4BF1-B3EB-F416C2FC2847}
'<SYSTEM32>\wisptis.exe' /ManualLaunch;' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\wisptis.exe' /ManualLaunch;
'%WINDIR%\syswow64\ocsetup.exe' MSMQ-Container;MSMQ-Server /passive
'<SYSTEM32>\ocsetup.exe' MSMQ-Container;MSMQ-Server /passive
'<SYSTEM32>\dism.exe' /online /logpath:"%WINDIR%\ocsetup_cbs_install_MSMQ-Container;MSMQ-Server.txt" /enable-feature /featurename:MSMQ-Container /featurename:MSMQ-Server /quiet /norestart /ignorecheck
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\svchost.exe' -k swprv
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK