Trojan.Siggen9.54998

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Classes\freeconferencecall\Shell\Open\Command] '' = '%LOCALAPPDATA%\FCC\FCC EN.exe %1'
[<HKCU>\Software\Classes\FreeConferenceCall.WinNC\Shell\Open\Command] '' = '%LOCALAPPDATA%\FCC\FCC EN.exe %1'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /IM "FCC EN.exe" /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nscb137.tmp
%LOCALAPPDATA%\fcc\resources\connection.wav
%LOCALAPPDATA%\fcc\resources\error.wav
%LOCALAPPDATA%\fcc\resources\line_mute.wav
%LOCALAPPDATA%\fcc\resources\line_unmute.wav
%LOCALAPPDATA%\fcc\resources\new_message.wav
%LOCALAPPDATA%\fcc\resources\pound.wav
%LOCALAPPDATA%\fcc\resources\reminder.wav
%LOCALAPPDATA%\fcc\resources\ringing_softphone.wav
%LOCALAPPDATA%\fcc\resources\ringing_tone.wav
%LOCALAPPDATA%\fcc\resources\star.wav
%LOCALAPPDATA%\fcc\resources\welcome.wav
%APPDATA%\microsoft\windows\start menu\programs\fcc\uninstall fcc.lnk
%APPDATA%\microsoft\windows\start menu\programs\fcc\fcc.lnk
%HOMEPATH%\desktop\fcc.lnk
%HOMEPATH%\.fcc\fcc.log
%LOCALAPPDATA%\fcc\crashpad\db\settings.dat
%LOCALAPPDATA%\fcc\fcc.json
%LOCALAPPDATA%\fcc\resources\conference_started.wav
%LOCALAPPDATA%\fcc\emoji\freemoji\64\freemojis.webp
%LOCALAPPDATA%\fcc\resources\busy_tone.wav
%LOCALAPPDATA%\fcc\resources\8.wav
%TEMP%\nscb138.tmp\system.dll
%TEMP%\nscb138.tmp\userinfo.dll
%TEMP%\nscb138.tmp\uac.dll
%LOCALAPPDATA%\fcc\install.log
%LOCALAPPDATA%\fcc\fcc en.exe
%LOCALAPPDATA%\fcc\freeseeicon.ico
%LOCALAPPDATA%\fcc\install.txt
%LOCALAPPDATA%\fcc\fcc_crashpad_handler.exe
%LOCALAPPDATA%\fcc\fcc_uninstaller.exe
%LOCALAPPDATA%\fcc\resources\0.wav
%LOCALAPPDATA%\fcc\resources\1.wav
%LOCALAPPDATA%\fcc\resources\2.wav
%LOCALAPPDATA%\fcc\resources\3.wav
%LOCALAPPDATA%\fcc\resources\4.wav
%LOCALAPPDATA%\fcc\resources\5.wav
%LOCALAPPDATA%\fcc\resources\6.wav
%LOCALAPPDATA%\fcc\resources\7.wav
%LOCALAPPDATA%\fcc\resources\9.wav
%LOCALAPPDATA%\fcc\emoji\32\emojis.webp

Удаляет следующие файлы

%TEMP%\nscb138.tmp\system.dll
%TEMP%\nscb138.tmp\uac.dll
%TEMP%\nscb138.tmp\userinfo.dll

Сетевая активность

TCP

'ap#.####conferencecall.com':443
'ow####.##eeconferencecall.com':443
'go#####analytics.com':443

UDP

DNS ASK ap#.####conferencecall.com
DNS ASK ow####.##eeconferencecall.com
DNS ASK go#####analytics.com

Другое

Ищет следующие окна

ClassName: 'FCCMainMenu' WindowName: 'TrayWindowFCC'
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\fcc\fcc en.exe'
'%LOCALAPPDATA%\fcc\fcc_crashpad_handler.exe' --database=%LOCALAPPDATA%\FCC\crashpad\db --metrics-dir=%LOCALAPPDATA%\FCC\crashpad\db --url=https://freeconferencecall.sp.backtrace.io:6098 --annotation=app_name=FreeConferenceCall --annotatio...
'%WINDIR%\syswow64\taskkill.exe' /IM "FCC EN.exe" /F' (со скрытым окном)

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android