Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.Carberp.2187

Добавлен в вирусную базу Dr.Web: 2020-08-04

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
  • [<HKLM>\Software\Classes\.anydesk\shell\open\command] '' = '"c:\anydesk\AnyDesk.exe" --play "%1"'
Создает или изменяет следующие файлы
  • <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
  • %WINDIR%\tasks\kfmt.job
Устанавливает следующие настройки сервисов
  • [<HKLM>\System\CurrentControlSet\Services\AnyDesk] 'Start' = '00000002'
  • [<HKLM>\System\CurrentControlSet\Services\AnyDesk] 'ImagePath' = '"c:\anydesk\AnyDesk.exe" --service'
Создает следующие сервисы
  • 'AnyDesk' "c:\anydesk\AnyDesk.exe" --service
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
  • Средство контроля пользовательских учетных записей (UAC)
Читает файлы, отвечающие за хранение паролей сторонними программами
  • %LOCALAPPDATA%\google\chrome\user data\default\cookies
  • %LOCALAPPDATA%\google\chrome\user data\default\login data
  • %LOCALAPPDATA%\google\chrome\user data\default\web data
  • %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
  • %TEMP%\d47f.tmp
  • %PROGRAMDATA%\cksdlu\kfmt.exe
  • %PROGRAMDATA%\anydesk\system.conf
  • C:\anydesk\anydesk.exe
  • %APPDATA%\anydesk\ad.trace
  • %TEMP%\70bc.exe
  • %TEMP%\4c5b.exe
  • %TEMP%\9cee.exe
  • %TEMP%\3df2.exe
  • C:\curl.exe
  • C:\anydesk.exe
  • %TEMP%\2fc8.exe
  • %TEMP%\99b1.exe
  • %APPDATA%\ujcdeju
  • %APPDATA%\iithhwt
  • C:\swap.cmd
  • %PROGRAMDATA%\anydesk\ad_svc.trace
Присваивает атрибут 'скрытый' для следующих файлов
  • %APPDATA%\iithhwt
  • %APPDATA%\ujcdeju
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
  • http://zg####tat14tp.xyz/lkx111.exe
  • http://zg####tat14tp.xyz/desk.exe
  • http://www.ms####nnecttest.com/connecttest.txt
  • http://download.windowsupdate.com/c/msdownload/update/others/2019/12/30378685_721206c65081222488d2fae7cc6ecbca9e5025d4.cab
  • http://download.windowsupdate.com/d/msdownload/update/others/2019/08/29692004_8adad4cd466b76f1bfa96233d6832d8a2bbd477a.cab
  • http://download.windowsupdate.com/c/msdownload/update/others/2019/10/30015113_f0ac1db5f98499f074c0e673eb42b34311dfe078.cab
  • http://download.windowsupdate.com/c/msdownload/update/others/2020/05/31702887_c66d1f08687e7d20809c993d2cddb293957f3ae6.cab
  • http://download.windowsupdate.com/d/msdownload/update/others/2019/08/29632392_bfa3183dbb37e66f0fd8e68624b74472de3794ea.cab
  • http://zg####tat14tp.xyz/socks777.exe
  • http://zg####tat14tp.xyz/socks111.exe
  • http://zg####tat14tp.xyz/tau111.exe
  • http://zg####tat14tp.xyz/tau777.exe
  • http://zg####tat14tp.xyz/brt777.exe
Запросы HTTP POST
  • http://re###at35x.xyz/statweb955/
  • http://zg#####advert15dx.xyz/cfg/
  • 'download.visualstudio.microsoft.com':443
  • 'sls.update.microsoft.com':443
  • 'ap#.#yip.com':443
  • UDP
    • DNS ASK re###at35x.xyz
    • DNS ASK zg####tat14tp.xyz
    • DNS ASK download.visualstudio.microsoft.com
    • DNS ASK sls.update.microsoft.com
    • DNS ASK ms####nnecttest.com
    • DNS ASK ap#.#yip.com
    • DNS ASK zg#####advert15dx.xyz
    Другое
    Ищет следующие окна
    • ClassName: 'EDIT' WindowName: ''
    Создает и запускает на исполнение
    • '%TEMP%\99b1.exe'
    • '%TEMP%\2fc8.exe'
    • '%TEMP%\3df2.exe'
    • 'C:\anydesk.exe' --install c:\anydesk --silent
    • '%TEMP%\4c5b.exe'
    • '%TEMP%\70bc.exe'
    • 'C:\anydesk\anydesk.exe' --service
    • '%TEMP%\9cee.exe'
    Запускает на исполнение
    • '%WINDIR%\syswow64\cmd.exe' /c ""C:\swap.cmd" "
    • '%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive

    Рекомендации по лечению

    1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
    2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
    Скачать Dr.Web

    По серийному номеру

    Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

    На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

    Скачать Dr.Web

    По серийному номеру

    1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
    2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
      • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
      • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
      • выключите устройство и включите его в обычном режиме.

    Подробнее о Dr.Web для Android

    Демо бесплатно на 14 дней

    Выдаётся при установке