ПОЛЬЗОВАТЕЛЯМ

Закрыть

Поиск

Поиск

Поддержка
Круглосуточная поддержка

Напишите

Запрос через форму

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Напишите

Задать вопрос в поддержку

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

RU
RU CN DE EN ES FR IT JP KZ UZ PL BY ID
Закрыть

Переключение языка сайта

Сервисы
Сканеры
FixIt!
Dr.Web vxCube
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.MulDrop11.36694

Добавлен в вирусную базу Dr.Web: 2020-02-01

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения
Создает следующие сервисы
  • [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\UxSms] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Themes] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\SysMain] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\sppsvc] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Spooler] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\ShellHWDetection] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\SamSs] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\ProfSvc] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Power] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\PlugPlay] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\nsi] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\NlaSvc] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\MpsSvc] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\MMCSS] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\lmhosts] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\LanmanWorkstation] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\LanmanServer] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\EventSystem] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\eventlog] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Dnscache] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Dhcp] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\CryptSvc] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\BFE] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\AudioSrv] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\AudioEndpointBuilder] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Winmgmt] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\Wlansvc] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
  • [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
  • [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Изменения в файловой системе
Создает следующие файлы
  • %TEMP%\autca47.tmp
  • %WINDIR%\syswow64\deskrun.bat
Удаляет следующие файлы
  • %TEMP%\autca47.tmp
Другое
Создает и запускает на исполнение
  • '<SYSTEM32>\cmd.exe' /c %WINDIR%\SysWOW64\deskrun.bat' (со скрытым окном)
  • '<SYSTEM32>\cmd.exe' /C del /q /s %windir%\SysWOW64\opter.exe' (со скрытым окном)
Запускает на исполнение
  • '<SYSTEM32>\cmd.exe' /c %WINDIR%\SysWOW64\deskrun.bat
  • '%WINDIR%\syswow64\sc.exe' config SCPolicySvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SDRSVC start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config seclogon start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SENS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SensrSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SessionEnv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SharedAccess start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config ShellHWDetection start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config SNMPTRAP start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Spooler start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config sppsvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config sppuinotify start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SSDPSRV start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SstpSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config stisvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Schedule start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config swprv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SCardSvr start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config RpcSs start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config pla start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config PlugPlay start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config PNRPAutoReg start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config PNRPsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config PolicyAgent start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Power start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config ProfSvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config ProtectedStorage start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config QWAVE start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config RasAuto start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config RasMan start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config RemoteAccess start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config RemoteRegistry start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config RpcEptMapper start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config RpcLocator start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config SamSs start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config SysMain start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config TabletInputService start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config TapiSrv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Wecsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config wercplsupport start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WerSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WinHttpAutoProxySvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Winmgmt start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config WinRM start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config wudfsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Wlansvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config WMPNetworkSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WPCSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WPDBusEnum start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config wscsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WSearch start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config wuauserv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WdiSystemHost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WebClient start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WdiServiceHost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WcsPlugInService start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config wcncsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config TermService start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Themes start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config THREADORDER start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config TrkWks start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config TrustedInstaller start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config UI0Detect start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config PerfHost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config upnphost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config UmRdpService start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config VaultSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config vds start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config VSS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config W32Time start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config wbengine start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WbioSrvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config TBS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config UxSms start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config wmiApSrv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config PeerDistSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Netlogon start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Browser start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config bthserv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config CertPropSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config clr_optimization_v2.0.50727_32 start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config clr_optimization_v2.0.50727_64 start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config COMSysApp start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config CryptSvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config CscService start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config DcomLaunch start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config defragsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Dhcp start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config Dnscache start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config dot3svc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config DPS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config EapHost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config BITS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config EFS start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config BFE start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config AxInstSV start= DEMAND
  • '<SYSTEM32>\cmd.exe' /C del /q /s %windir%\SysWOW64\opter.exe
  • '%WINDIR%\syswow64\powercfg.exe' -setacvalueindex 381b4222-f694-41f0-9685-ff5bb260df2e 238c9fa8-0aad-41ed-83f4-97be242c8f20 29f6c1db-86da-48c5-9fdb-f2b67b1f44da 0
  • '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
  • '%WINDIR%\syswow64\powercfg.exe' -h off
  • '%WINDIR%\syswow64\reg.exe' DELETE HKEY_CURRENT_USER\Software\Microsoft\Installer\Features\0762812C5FEEC1B428F26679F2DFAE7C /f
  • '%WINDIR%\syswow64\reg.exe' DELETE HKEY_CURRENT_USER\Software\Microsoft\Installer\Products\0762812C5FEEC1B428F26679F2DFAE7C /f
  • '%WINDIR%\syswow64\reg.exe' DELETE HKEY_CURRENT_USER\Software\Microsoft\Installer\UpgradeCodes\157F0F9510151564A87B08EF0A9EBBE9 /f
  • '%WINDIR%\syswow64\reg.exe' DELETE HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\157F0F9510151564A87B08EF0A9EBBE9 /f
  • '%WINDIR%\syswow64\sc.exe' config AeLookupSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config ALG start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config AppIDSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Appinfo start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config AppMgmt start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config AudioEndpointBuilder start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config AudioSrv start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config BDESVC start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config ehRecvr start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config ehSched start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config eventlog start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config Mcx2Svc start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config MMCSS start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config MpsSvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config MSDTC start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config MSiSCSI start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config msiserver start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config p2psvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config napagent start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Netman start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config netprofm start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config NetTcpPortSharing start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config NlaSvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config nsi start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config p2pimsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config lltdsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config lmhosts start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config LanmanWorkstation start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config LanmanServer start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config KtmRm start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config Fax start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config fdPHost start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config FDResPub start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config FontCache start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config FontCache3.0.0.0 start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config gpsvc start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config PcaSvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config hkmsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config hidserv start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config HomeGroupProvider start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config idsvc start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config IKEEXT start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config IPBusEnum start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config iphlpsvc start= DISABLED
  • '%WINDIR%\syswow64\sc.exe' config KeyIso start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config EventSystem start= AUTO
  • '%WINDIR%\syswow64\sc.exe' config HomeGroupListener start= DEMAND
  • '%WINDIR%\syswow64\sc.exe' config WwanSvc start= DEMAND

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play