Trojan.KillProc2.23277

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\stitchcraftx.url

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\jsc.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\jsc.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsf2942.tmp
%TEMP%\poor
%TEMP%\transform
%TEMP%\routines
%TEMP%\disks
%TEMP%\islands
%TEMP%\negotiations
%TEMP%\thursday
%TEMP%\accommodate
%TEMP%\sacramento
%TEMP%\optics
%TEMP%\acceptable
%TEMP%\evil.cmd
%TEMP%\665238\consists.pif
%TEMP%\665238\q
%LOCALAPPDATA%\craftstitch elite studios inc\d
%TEMP%\moments
%TEMP%\ralph
%TEMP%\korean
%TEMP%\restored
%TEMP%\web
%TEMP%\sans
%TEMP%\school
%TEMP%\washing
%TEMP%\fisher
%TEMP%\shark
%TEMP%\ir
%TEMP%\reservation
%TEMP%\toxic
%TEMP%\cigarette
%TEMP%\environment
%TEMP%\trackback
%TEMP%\mills
%TEMP%\evil
%TEMP%\projects
%TEMP%\blowjob
%TEMP%\palace
%TEMP%\bankruptcy
%LOCALAPPDATA%\craftstitch elite studios inc\stitchcraftx.pif
%LOCALAPPDATA%\craftstitch elite studios inc\stitchcraftx.js

Сетевая активность

UDP

DNS ASK st#############qsLqnWuzrgAe.stTtrkURyABaETFqsLqnWuzrgAe

Другое

Создает и запускает на исполнение

'%TEMP%\665238\consists.pif' 665238\Q

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c copy Evil Evil.cmd & Evil.cmd (со скрытым окном)
'%WINDIR%\syswow64\tasklist.exe'
'%WINDIR%\syswow64\findstr.exe' /I "wrsa.exe opssvc.exe"
'%WINDIR%\syswow64\findstr.exe' /I "avastui.exe avgui.exe nswscsvc.exe sophoshealth.exe"
'%WINDIR%\syswow64\cmd.exe' /c md 665238
'%WINDIR%\syswow64\findstr.exe' /V "unionstudioscalculatorsali" Moments
'%WINDIR%\syswow64\cmd.exe' /c copy /b Trackback + Islands + Environment + Negotiations + Web 665238\Q
'%WINDIR%\syswow64\timeout.exe' 5
'%WINDIR%\syswow64\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\StitchCraftX.url" & echo URL="%LOCALAPPDATA%\CraftStitch Elite Studios Inc\StitchCraftX.js" >> "%APPDATA%\M...
'%WINDIR%\microsoft.net\framework\v4.0.30319\jsc.exe'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android