Trojan.DownLoader34.60936

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\svchost
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\<Имя файла>
<SYSTEM32>\tasks\iexplore

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\appcompat\programs\svchost.exe
%ProgramFiles%\launcher\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
%ProgramFiles%\launcher\svchost.exe
<Текущая директория>\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
<Текущая директория>\svchost.exe
%ALLUSERSPROFILE%\microsoft help\60e93ff84953df4bb4db61ac8ce90ce9c3284c39
%ALLUSERSPROFILE%\microsoft help\<Имя файла>.exe
C:\far2\encyclopedia\tap\iexplore.exe
%ProgramFiles(x86)%\mozilla firefox\gmp-clearkey\0.1\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
C:\documents and settings\101b941d020240259ca4912829b53995ad543df6
C:\documents and settings\lsm.exe
%ProgramFiles(x86)%\microsoft visual studio .net 2003\vc7\bin\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
%ProgramFiles(x86)%\microsoft visual studio .net 2003\vc7\bin\svchost.exe
%TEMP%\8cd19e250bf12fa7178ac090fb88245c.dat
%WINDIR%\appcompat\programs\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
%ProgramFiles(x86)%\mozilla firefox\gmp-clearkey\0.1\svchost.exe
C:\far2\encyclopedia\tap\9db6e019d4f04ef534d0f91b3462d805c40e9d20

Сетевая активность

TCP

Запросы HTTP GET

http://82.##6.54.102/kkzx3roeydc6k1z05q4xdveoh9906z078c5w4uhc2qq88iqn/dexm6w4v/3cb0c63f5281258b9b4139f9a392a9ee05ab2670.php?69###############################################################
http://82.##6.54.102/kkzx3roeydc6k1z05q4xdveoh9906z078c5w4uhc2qq88iqn/dexm6w4v/3cb0c63f5281258b9b4139f9a392a9ee05ab2670.php?3e###################################################################...
http://82.##6.54.102/kkzx3roeydc6k1z05q4xdveoh9906z078c5w4uhc2qq88iqn/dexm6w4v/8vyn7qf17qfuesk0i14gn9gqmmmn4e587co3lzeztbaalsx8gzk238nru9leakacb7uf6prmfghiiryiv5ld14jwbo/de7a5cef27cd9790cce1f92...

'ip##fo.io':443

UDP

DNS ASK ip##fo.io

Другое

Создает и запускает на исполнение

'C:\far2\encyclopedia\tap\iexplore.exe'

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'%WINDIR%\AppCompat\Programs\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio .NET 2003\Vc7\bin\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'C:\Documents and Settings\lsm.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\gmp-clearkey\0.1\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft Help\<Имя файла>.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'<Текущая директория>\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'%ProgramFiles%\Launcher\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Far2\Encyclopedia\tap\iexplore.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android