Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.Siggen15.10005
Добавлен в вирусную базу Dr.Web:
2021-09-07
Описание добавлено:
2021-09-09
Техническая информация
Вредоносные функции
Запускает на исполнение
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="ZeroTier One" dir=in action=allow program="%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\format-znetwork_x64.exe" enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="ZeroTier One" dir=out action=allow program="%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\format-znetwork_x64.exe" enable=yes
'<SYSTEM32>\net.exe' stop "FormatZNetworkService"
Внедряет код в
следующие пользовательские процессы:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
Библиотека-обработчик для всех процессов: %LOCALAPPDATA%\Programs\format-client\build\bScanner-hook\windows\hook_bscanner_lib.dll
Изменения в файловой системе
Создает следующие файлы
Удаляет следующие файлы
%TEMP%\nsc6671.tmp\app-64.7z
%TEMP%\nsc6671.tmp\nsis7z.dll
%TEMP%\nsc6671.tmp\nsprocess.dll
%TEMP%\nsc6671.tmp\spiderbanner.dll
%TEMP%\nsc6671.tmp\stdutils.dll
%TEMP%\nsc6671.tmp\system.dll
%TEMP%\nsc6671.tmp\winshell.dll
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.cat
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.inf
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.sys
%APPDATA%\format-client\network persistent state~rf13b6b1.tmp
%TEMP%\e69b536e54cf6a46df5a6d294e350fef\command.bat
%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat
%TEMP%\e69b536e54cf6a46df5a6d294e350fef\stdout
Перемещает следующие файлы
%APPDATA%\format-client\local storage\leveldb\000001.dbtmp в %APPDATA%\format-client\local storage\leveldb\current
%APPDATA%\format-client\code cache\js\index-dir\temp-index в %APPDATA%\format-client\code cache\js\index-dir\the-real-index
%APPDATA%\format-client\code cache\wasm\index-dir\temp-index в %APPDATA%\format-client\code cache\wasm\index-dir\the-real-index
%APPDATA%\format-client\config.json.1849928389 в %APPDATA%\format-client\config.json
%APPDATA%\format-client\c26f072d-c070-4a62-ad10-051b91e18fe0.tmp в %APPDATA%\format-client\network persistent state
%APPDATA%\format-client\3224e24e-bed7-4e17-a032-ef73d6d6ad54.tmp в %APPDATA%\format-client\preferences
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\set5447.tmp в %TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.cat
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\set54f3.tmp в %TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.inf
%TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\set565b.tmp в %TEMP%\{22e8e310-24ba-560a-e8ad-2971cc8e7362}\zttap300.sys
%APPDATA%\format-client\network persistent state в %APPDATA%\format-client\network persistent state~rf13b6b1.tmp
Изменяет следующие файлы
Сетевая активность
Подключается к
'localhost':4367
'10.##7.20.38':3005
're####ctor.gvt1.com':443
TCP
Запросы HTTP GET
Другие
'localhost':49175
're####ctor.gvt1.com':443
'r1######5hne6n7e.gvt1.com':443
UDP
DNS ASK re####ctor.gvt1.com
DNS ASK r1######5hne6n7e.gvt1.com
'r1######5hne6n7e.gvt1.com':443
Другое
Ищет следующие окна
ClassName: '#32770' WindowName: ''
ClassName: 'Chrome_MessageWindow' WindowName: '%APPDATA%\format-client'
Создает и запускает на исполнение
'%LOCALAPPDATA%\programs\format-client\format-client.exe'
'%LOCALAPPDATA%\programs\format-client\format-client.exe' --type=gpu-process --field-trial-handle=1004,5219235354157321120,15972759629933310394,131072 --enable-features=WebComponentsV0Enabled --disable-features=CookiesWithoutSameSiteMustBeSecure,SameS...
'%LOCALAPPDATA%\programs\format-client\format-client.exe' --type=utility --utility-sub-type=network.mojom.NetworkService --field-trial-handle=1004,5219235354157321120,15972759629933310394,131072 --enable-features=WebComponentsV0Enabled --disable-featu...
'%LOCALAPPDATA%\programs\format-client\format-client.exe' --type=renderer --field-trial-handle=1004,5219235354157321120,15972759629933310394,131072 --enable-features=WebComponentsV0Enabled --disable-features=CookiesWithoutSameSiteMustBeSecure,SameSite...
'%LOCALAPPDATA%\programs\format-client\build\bscanner-hook\windows\cppsocket.exe'
'%LOCALAPPDATA%\programs\format-client\format-client.exe' --type=utility --utility-sub-type=audio.mojom.AudioService --field-trial-handle=1004,5219235354157321120,15972759629933310394,131072 --enable-features=WebComponentsV0Enabled --disable-features=...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Start-Process -FilePath "'%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat'" -WindowStyle hidden -Verb runAs
'%LOCALAPPDATA%\programs\format-client\build\znetwork\windows\format-znetwork_x64.exe' -I
'%LOCALAPPDATA%\programs\format-client\build\znetwork\windows\format-znetwork_x64.exe'
'%LOCALAPPDATA%\programs\format-client\build\znetwork\windows\format-znetwork_x64.exe' -q join 640b82eab1cd15b3
'%LOCALAPPDATA%\programs\format-client\build\bscanner-hook\windows\cppsocket.exe' ' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "sc query "FormatZNetworkService""' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "powershell.exe Start-Process -FilePath "'%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat'" -WindowStyle hidden -Verb runAs"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "rmdir /s /q "%TEMP%\e69b536e54cf6a46df5a6d294e350fef""' (со скрытым окном)
Запускает на исполнение
'<SYSTEM32>\cmd.exe' /d /s /c "sc query "FormatZNetworkService""
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\networks.d\640b82eab1cd15b3.conf" /inheritance:d /Q
'<SYSTEM32>\net1.exe' stop "FormatZNetworkService"
'<SYSTEM32>\xcopy.exe' /E /I "%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\tap-windows" "%ALLUSERSPROFILE%\format-znetwork\tap-windows"
'<SYSTEM32>\timeout.exe' /t 5
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\controller.d" /remove *S-1-5-32-545 /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\controller.d" /inheritance:d /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\identity.secret" /remove *S-1-5-32-545 /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\identity.secret" /inheritance:d /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\authtoken.secret" /remove *S-1-5-32-545 /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\authtoken.secret" /inheritance:d /Q
'<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\format-znetwork\networks.d\640b82eab1cd15b3.conf" /remove *S-1-5-32-545 /Q
'<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="ZeroTier One" program="%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\format-znetwork_x64.exe"
'<SYSTEM32>\net.exe' start "FormatZNetworkService"
'<SYSTEM32>\timeout.exe' /t 1
'<SYSTEM32>\pnputil.exe' -i -a "%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\tap-windows\x64\zttap300.inf"
'<SYSTEM32>\certutil.exe' -enterprise -f -v -AddStore "TrustedPublisher" "%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\tap-windows\zttap300.cer"
'<SYSTEM32>\certutil.exe' -enterprise -f -v -AddStore "Root" "%LOCALAPPDATA%\Programs\format-client\build\zNetwork\windows\tap-windows\zttap300.cer"
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\cmd.exe' /C "%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat"
'<SYSTEM32>\cmd.exe' /d /s /c "powershell.exe Start-Process -FilePath "'%TEMP%\e69b536e54cf6a46df5a6d294e350fef\execute.bat'" -WindowStyle hidden -Verb runAs"
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%LOCALAPPDATA%\programs\format-c...
'<SYSTEM32>\sc.exe' query "FormatZNetworkService"
'<SYSTEM32>\net1.exe' start "FormatZNetworkService"
'<SYSTEM32>\cmd.exe' /d /s /c "rmdir /s /q "%TEMP%\e69b536e54cf6a46df5a6d294e350fef""
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK