Trojan.DownLoader36.27908

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ChromeUpdater' = '%APPDATA%\<Имя файла>.exe'

Изменения в файловой системе

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\<Имя файла>.exe

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/js/flexslider.js?ve#######
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/js/retina.min.js?ve#######
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/js/scripts.js?ve#######
http://tu######s.sovideodahora.xyz/wp-content/plugins/blogmatic/assets/public.js
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/images/logos/logo.png
http://0.###vatar.com/avatar/91224fec441583e62dfa46e1dfae06e5?s=###########
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/images/logos/logo-nav.png
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/font-awesome/fonts/fontawesome-webfont.eot?
http://tu######s.sovideodahora.xyz/wp-includes/js/wp-emoji-release.min.js?ve#######
http://tu######s.sovideodahora.xyz/wp-includes/js/comment-reply.min.js?ve#######
http://tu######s.sovideodahora.xyz/wp-includes/js/jquery/jquery.js?ve###########
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/font-awesome/css/font-awesome.css?ve#######
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/css/reset.css?ve#######
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/style.css?ve#######
http://tu######s.sovideodahora.xyz/wp-content/plugins/blogmatic/assets/public.css
http://fo###.#oogleapis.com/css?fa###############################################################################################################################################################...
http://tu######s.sovideodahora.xyz/wp-includes/css/dist/block-library/style.min.css?ve#######
http://tu######s.sovideodahora.xyz/2020/12/10/fizemos-um-acelerador-magnetico-para-o-submarino/
http://so####odahora.xyz/rotator/
http://vi######imate.getforge.io/
http://tu######s.sovideodahora.xyz/wp-content/themes/temablogmatic/css/media-queries.css?ve#######
http://tu######s.sovideodahora.xyz/wp-includes/js/wp-embed.min.js?ve#######

'is.gd':443

'a.###ynsrv.com':443

'yo##ube.com':443

'fo###.gstatic.com':443

's.##img.com':443

UDP

DNS ASK is.gd
DNS ASK microsoft.com
DNS ASK vi######imate.getforge.io
DNS ASK so####odahora.xyz
DNS ASK tu######s.sovideodahora.xyz
DNS ASK fo###.#oogleapis.com
DNS ASK 0.###vatar.com
DNS ASK a.###ynsrv.com
DNS ASK yo##ube.com
DNS ASK fo###.gstatic.com
DNS ASK s.##img.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C powershell Move-Item -Force -Verbose -Path ./* -Destination '%appdata%'' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C powershell Move-Item -Force -Verbose -Path ./* -Destination '%appdata%'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Move-Item -Force -Verbose -Path ./* -Destination '%APPDATA%'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android