Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader30.53067
Добавлен в вирусную базу Dr.Web:
2019-12-19
Описание добавлено:
2020-05-10
Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NtoolsUpdater' = '"%ProgramFiles(x86)%\Naver\NaverToolsUpdater\NToolsUpdaterLauncher.exe" /M /autorun'
[\REGISTRY\USER\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NaverAgent' = '"%ProgramFiles(x86)%\naver\NaverAgent\NaverAgent.exe" /autorun'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NaverAgent' = '"%ProgramFiles(x86)%\naver\NaverAgent\NaverAgent.exe" /autorun'
Устанавливает следующие настройки сервисов
[<HKLM>\System\CurrentControlSet\Services\Naver Updater] 'ImagePath' = '"%ProgramFiles(x86)%\Naver\NaverCommon\NaverAdminAPISvc.exe"'
[<HKLM>\System\CurrentControlSet\Services\Naver Updater] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Naver Updater] 'ImagePath' = '%ProgramFiles(x86)%\Naver\NaverCommon\NaverAdminAPISvc.exe'
Создает следующие сервисы
'Naver Updater' "%ProgramFiles(x86)%\Naver\NaverCommon\NaverAdminAPISvc.exe"
'Naver Updater' %ProgramFiles(x86)%\Naver\NaverCommon\NaverAdminAPISvc.exe
Изменения в файловой системе
Создает следующие файлы
Удаляет следующие файлы
%APPDATA%\microsoft\windows\start menu\programs\네이버 툴박스\네이버 툴박스 제거.lnk
%TEMP%\ntoolsupdater\20200508144923\agreement.html
%TEMP%\ntoolsupdater\20200508144923\dbghelp.dll
%TEMP%\ntoolsupdater\20200508144923\gdiplus.dll
%TEMP%\ntoolsupdater\20200508144923\microsoft.vc90.crt.manifest
%TEMP%\ntoolsupdater\20200508144923\msvcp90.dll
%TEMP%\ntoolsupdater\20200508144923\msvcr90.dll
%TEMP%\ntoolsupdater\20200508144923\naveradminapi.dll
%TEMP%\ntoolsupdater\20200508144923\naveradminapi.exe
%TEMP%\ntoolsupdater\20200508144923\nelo.dll
%TEMP%\ntoolsupdater\20200508144923\nelo_crashreporter.exe
%TEMP%\ntoolsupdater\20200508144923\ntbapiw.dll
%TEMP%\nsz69ce.tmp\system.dll
%WINDIR%\temp\nsi72d1.tmp\naverupdaterplugin.dll
%TEMP%\ntoolsupdater\20200508144923\ntoolscommonui.dll
%TEMP%\ntoolsupdater\20200508144923\ntoolsupdater.exe
%TEMP%\ntoolsupdater\20200508144923\ntoolsupdater.xml
%TEMP%\ntoolsupdater\20200508144923\ntoolsupdaterlauncher.exe
%TEMP%\ntoolsupdater\20200508144923\ntoolsupdaterresource_ko-kr.zip
%TEMP%\ntoolsupdater\20200508144923\ntools_license_info.xml
%TEMP%\ntoolsupdater\20200508144923\nuupdateruninstaller.exe
%TEMP%\ntoolsupdater\20200508144923\urlagreement.html
%TEMP%\nsx96d4.tmp\naveradminapi.dll
%TEMP%\nsx96d4.tmp\naveradminapi.exe
%TEMP%\nsx96d4.tmp\naveradminapiplugin.dll
%TEMP%\nsx96d4.tmp\nelo.dll
%TEMP%\ntoolsupdater\20200508144923\ntoolslauncher.exe
%TEMP%\ntoolsupdater\20200508144923\ntoolsupdater.dll
%TEMP%\nsz69ce.tmp\setactiveplugin.dll
%TEMP%\nsz69ce.tmp\nsisdl.dll
%TEMP%\nsz69ce.tmp\naveradminapiplugin.dll
%WINDIR%\temp\nsc1764.tmp\agentapi_1_2.dll
%WINDIR%\temp\nsc1764.tmp\system.dll
%WINDIR%\temp\nsc1764.tmp\userinfo.dll
%TEMP%\ntoolsupdater\20200508144806\agreement.html
%TEMP%\ntoolsupdater\20200508144806\dbghelp.dll
%TEMP%\ntoolsupdater\20200508144806\gdiplus.dll
%TEMP%\ntoolsupdater\20200508144806\microsoft.vc90.crt.manifest
%TEMP%\ntoolsupdater\20200508144806\msvcp90.dll
%TEMP%\ntoolsupdater\20200508144806\msvcr90.dll
%TEMP%\ntoolsupdater\20200508144806\naveradminapi.dll
%TEMP%\ntoolsupdater\20200508144806\naveradminapi.exe
%TEMP%\ntoolsupdater\20200508144806\nelo.dll
%APPDATA%\microsoft\windows\start menu\programs\네이버 툴박스\네이버 툴박스.lnk
%TEMP%\ntoolsupdater\20200508144806\nelo_crashreporter.exe
%TEMP%\ntoolsupdater\20200508144806\ntoolscommonui.dll
%TEMP%\ntoolsupdater\20200508144806\ntoolslauncher.exe
%TEMP%\ntoolsupdater\20200508144806\ntoolsupdater.dll
%TEMP%\ntoolsupdater\20200508144806\ntoolsupdater.exe
%TEMP%\ntoolsupdater\20200508144806\ntoolsupdater.xml
%TEMP%\ntoolsupdater\20200508144806\ntoolsupdaterlauncher.exe
%TEMP%\ntoolsupdater\20200508144806\ntoolsupdaterresource_ko-kr.zip
%TEMP%\ntoolsupdater\20200508144806\ntools_license_info.xml
%TEMP%\ntoolsupdater\20200508144806\nuupdateruninstaller.exe
%TEMP%\ntoolsupdater\20200508144806\urlagreement.html
%TEMP%\nsz69ce.tmp\naveradminapi.dll
%TEMP%\nsz69ce.tmp\naveradminapi.exe
%TEMP%\ntoolsupdater\20200508144806\ntbapiw.dll
%TEMP%\nsx96d4.tmp\setactiveplugin.dll
%TEMP%\nsx96d4.tmp\system.dll
Перемещает следующие файлы
%TEMP%\tfr77b9.tmp в %TEMP%\naveradminapisetup.exe
%TEMP%\tfr3af7.tmp в %TEMP%\nuinst.exe
Подменяет следующие файлы
%APPDATA%\microsoft\windows\start menu\programs\네이버 툴박스\네이버 툴박스.lnk
%APPDATA%\microsoft\windows\start menu\programs\네이버 툴박스\네이버 툴박스 제거.lnk
Сетевая активность
TCP
Запросы HTTP GET
http://cd#.#aver.com/naver/VistaNTService/Setup/NaverAdminAPISetup.exe
http://cc.##ver.com/cc?a=#############################################
http://ap####n.naver.com/naver/toolbar/naveragent/NaverAgent_Setup.exe
http://cc.##ver.com/cc?a=###############################################
http://ap####n.naver.com/naver/toolbar/naveragent/RecommStartpage.xml
http://ap####n.naver.com/naver/toolbar/naveragent/NaverAgent.xml
http://ap####n.naver.com/naver/tools/updater/NToolsUpdaterInfo.xml
http://ap####n.naver.com/naver/tools/updater/serviceinfo/Ntools_license_Info.xml
http://ap####n.naver.com/naver/VistaNTService/x86/NAdminAPIInfo.xml
http://ap####n.naver.com/naver/tools/updater/NUInst.exe
http://ap####n.naver.com/naver/VistaNTService/x86/Setup/NaverAdminAPISetup.exe
http://cc.##ver.com/cc?a=############################################
'localhost':20051
'localhost':49175
'localhost':49196
'ne#####ol.navercorp.com':10007
UDP
DNS ASK cd#.#aver.com
DNS ASK cc.##ver.com
DNS ASK ap####n.naver.com
DNS ASK ne#####ol.navercorp.com
Другое
Ищет следующие окна
ClassName: '' WindowName: 'NToolsUpdater'
ClassName: 'NaverAgent.NotifyWnd' WindowName: 'NaverAgent'
ClassName: 'IEFrame' WindowName: ''
ClassName: 'Shell DocObject View' WindowName: ''
ClassName: '' WindowName: ''
Создает и запускает на исполнение
'%TEMP%\naveradminapisetup.exe' /S
'%TEMP%\nuinst.exe' /S /upgrade
'%ProgramFiles(x86)%\naver\navercommon\naveradminapisvc.exe' /unregserver
'%ProgramFiles(x86)%\naver\navercommon\naveradminapisvc.exe' /end
'%WINDIR%\syswow64\naveradminapisetup.exe' /S
'%ProgramFiles(x86)%\naver\navercommon\naveradminapiupgrader.exe'
'%ProgramFiles(x86)%\naver\navertoolsupdater\ntoolsupdaterlauncher.exe' /nocheck
'%TEMP%\ntoolsupdaterlauncher.exe'
'%ProgramFiles(x86)%\naver\naveragent\naveragent.exe' /keepds
'%ProgramFiles(x86)%\naver\naveragent\naveragent.exe' -RegServer
'%TEMP%\naveragent_setup.exe' /check_version
'%ProgramFiles(x86)%\naver\navercommon\naveradminapisvc.exe'
'%ProgramFiles(x86)%\naver\navercommon\naveradminapisvc.exe' /start
'%ProgramFiles(x86)%\naver\navercommon\naveradminapisvc.exe' /service
'%ProgramFiles(x86)%\naver\navertoolsupdater\ntoolsupdaterlauncher.exe'
'%ProgramFiles(x86)%\naver\navertoolsupdater\ntoolsupdater.exe' 204AD873-5D3E-45cf-B32C-6CAFD9C65945
'%WINDIR%\syswow64\naveradminapisetup.exe' /S' (со скрытым окном)
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK