BackDoor.Bulknet.1048

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gipychagcasp' = '%HOMEPATH%\gipychagcasp.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\merck[1].htm
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\4c458dc3-6380-41a7-9009-e409170c25af
%HOMEPATH%\gipychagcasp.exe
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\09fd881e-862b-48cd-a90a-4d582c9075fd

Сетевая активность:

Подключается к:

'al###-dsl.de':25
'mc####onhboc.com':25
'me##k.com':80
'nf#.com':25
'ho##ail.com':25
'mv##le.edu':25
'lc##pa.com':25
'ju##i.dk':25
'ga####inriver.net':25

TCP:

Запросы HTTP POST:

me##k.com/

UDP:

DNS ASK de###bosf.kz
DNS ASK as##.com
DNS ASK ba##ctor.us
DNS ASK ao#.de
DNS ASK vo###one.com
DNS ASK em###msn.com
DNS ASK ra##tar.com
DNS ASK me##om.com
DNS ASK mu###asosr.kz
DNS ASK ch###ensys.com
DNS ASK ca###line.org
DNS ASK ex##te.com
DNS ASK me##o.net
DNS ASK ke###vuzloda.kz
DNS ASK wi###tream.net
DNS ASK bi##s.com
DNS ASK gu###muvo.kz
DNS ASK ca###n.com.mx
DNS ASK po#####nmitsubishi.com
DNS ASK ne###zomih.kz
DNS ASK ca###.gov.br
DNS ASK ma###rent.com
DNS ASK nc###e.net.au
DNS ASK be####fuldecay.com
DNS ASK ca###ina.com
DNS ASK da##t.com
DNS ASK vi###t.com.mx
DNS ASK te##her.com
DNS ASK zd###mail.com
DNS ASK ei##om.net
DNS ASK sp##y.se
DNS ASK li##ro.it
DNS ASK gr##.com
DNS ASK xi###ladgusi.kz
DNS ASK yo##ube.com
DNS ASK na##r.com
DNS ASK li##one.net
DNS ASK ma##.#arthlink.net
DNS ASK jm#.edu
DNS ASK ga###peed.com
DNS ASK je###tmoharo.kz
DNS ASK ax##ero.hu
DNS ASK cr###paths.net
DNS ASK bl###planet.com
DNS ASK hu#.com
DNS ASK ya###.com.cn
DNS ASK mw##.co.za
DNS ASK wo###-net.co.nz
DNS ASK ms#.edu
DNS ASK ol##iss.edu
DNS ASK re####onsearch.com
DNS ASK sp###tmail.com
DNS ASK ao#.com
DNS ASK va###net.com
DNS ASK ac####endlease.com
DNS ASK ca####-systems.com
DNS ASK bo###efixim.kz
DNS ASK mo###ainmax.net
DNS ASK sh###dvare.com
DNS ASK ly##hta.org
DNS ASK cb###ted.com
DNS ASK ag##ent.com
DNS ASK co##ast.net
DNS ASK so##h.net
DNS ASK mi####ryofsound.net
DNS ASK ho####do-this.com
DNS ASK ca###ail.com
DNS ASK mi##47.com
DNS ASK so#.dk
DNS ASK ma##id.com
DNS ASK ba####egifford.com
DNS ASK pt.lu
DNS ASK ju##i.dk
DNS ASK nf#.com
DNS ASK mc####onhboc.com
DNS ASK ho##ail.com
DNS ASK lc##pa.com
DNS ASK mv##le.edu
DNS ASK ga####inriver.net
DNS ASK dr##el.edu
DNS ASK pg#.com
DNS ASK ta###bay.rr.com
DNS ASK va##ine.com
DNS ASK al###-dsl.de
DNS ASK me##k.com
DNS ASK in#.net
DNS ASK ew#.edu
DNS ASK ho##ale.com
DNS ASK vo#.com
DNS ASK rc#.com
DNS ASK tx##ate.edu
DNS ASK co###oweb.com
DNS ASK te##ett.com
DNS ASK ia.##lecom.net
DNS ASK my##ace.com
DNS ASK ti###s-net.com
DNS ASK va##.com
DNS ASK zo###own.com
DNS ASK nu###focibim.kz
DNS ASK ne###ape.net
DNS ASK o2.pl
DNS ASK bu####andbumble.com
DNS ASK wi###rmere.com
DNS ASK va####efreaks.com
DNS ASK up##nk.net
DNS ASK vu###rkuz.kz
DNS ASK wo####nline.co.uk
DNS ASK fr###burg.edu
DNS ASK ht##mp.net
DNS ASK ve##zon.net
DNS ASK ca###rande.com
DNS ASK sa####goinsider.com
DNS ASK sp##.com
DNS ASK al###ream.net
DNS ASK fo###dihija.kz

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: '(null)'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android