ПОЛЬЗОВАТЕЛЯМ

Закрыть

Поиск

Поиск

Поддержка
Круглосуточная поддержка

Напишите

Запрос через форму

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Напишите

Задать вопрос в поддержку

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

RU
RU CN DE EN ES FR IT JP KZ UZ PL BY
Закрыть

Переключение языка сайта

Сервисы
Сканеры
FixIt!
Dr.Web vxCube
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.DownLoader10.2036

Добавлен в вирусную базу Dr.Web: 2013-08-12

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
  • [<HKLM>\SYSTEM\ControlSet001\Services\Kingsoft Antivirus WebShield Service] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
  • '%ALLUSERSPROFILE%\Application Data\wd\KSWebShield.exe' -install
  • '%ALLUSERSPROFILE%\Application Data\wd\KSWebShield.exe' -start
  • '%TEMP%\nsc2.tmp\ns3.tmp' cmd.exe /c c:\clearerror.bat
  • '%TEMP%\nsc2.tmp\ns5.tmp' cmd.exe /c "%ALLUSERSPROFILE%\Application Data\wd\u.bat"
Запускает на исполнение:
  • '<SYSTEM32>\route.exe' -p add 59.53.87.79 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.80 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.78 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.76 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.77 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 60.191.223.97 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.147.109.147 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 60.191.223.96 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 60.191.124.236 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 60.191.223.94 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.107 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 58.221.42.83 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 58.221.42.84 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 222.241.151.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 222.208.168.4 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 222.208.168.5 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.102 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.106 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.53.87.101 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 58.221.42.85 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 59.51.114.16 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.183.62.179 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.183.62.186 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.183.62.178 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.164.110.113 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.183.44.240 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe'
  • '<SYSTEM32>\ping.exe' 127.0.0.1 -n 6
  • '<SYSTEM32>\route.exe' /pid=2780
  • '<SYSTEM32>\route.exe' -p add 61.183.62.187 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 67.215.65.132 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.170 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.164 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.165 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.147.110.238 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.147.110.235 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.147.110.237 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.169 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' /pid=500
  • '<SYSTEM32>\route.exe' -p add 61.160.210.168 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.166 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 61.160.210.167 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.133 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.134 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.132 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.130 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.131 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 124.238.243.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 124.238.244.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.68 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.135 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.228.199.136 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.227.15.61 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 121.14.158.155 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.225.37.116 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 121.14.158.153 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 110.81.239.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 113.105.146.25 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.227.15.59 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.227.15.60 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.226.213.145 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.225.37.117 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 122.225.37.118 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.71 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.72 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.70 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.68 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.69 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 222.186.16.181 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 222.186.189.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.181.126.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.73 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 220.170.193.74 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.73 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.21.68.70 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.66 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.16.227.66 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 124.238.254.0 mask 255.255.255.0 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 202.102.110.205 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.70 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.71 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.69 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.67 mask 255.255.255.255 10.0.0.3
  • '<SYSTEM32>\route.exe' -p add 218.77.10.68 mask 255.255.255.255 10.0.0.3
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\route.exe
Изменения в файловой системе:
Создает следующие файлы:
  • %ALLUSERSPROFILE%\Application Data\wd\u.bat
  • %TEMP%\nsc2.tmp\ns5.tmp
  • %ALLUSERSPROFILE%\Application Data\wd\kwsui.dll
  • %ALLUSERSPROFILE%\Application Data\wd\kswebshield.dll
  • %ALLUSERSPROFILE%\Application Data\wd\kswbc.dll
  • %ALLUSERSPROFILE%\Application Data\wd\KWSSVC.log
  • %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\indexn11[1].htm
  • <SYSTEM32>\i_e.ico
  • <SYSTEM32>\txb.ico
  • <SYSTEM32>\xxyx.ico
  • %ALLUSERSPROFILE%\Application Data\wd\KSWebShield.exe
  • %TEMP%\nsc2.tmp\nsExec.dll
  • %TEMP%\nsc2.tmp\ns3.tmp
  • C:\clearerror.bat
  • %TEMP%\nsc2.tmp\NSISArray.dll
  • %TEMP%\nsc2.tmp\ip.dll
  • %ALLUSERSPROFILE%\Templates\nsg4.tmp.exe
  • %ALLUSERSPROFILE%\Application Data\kingsoft\kws\spitesp.dat
  • %ALLUSERSPROFILE%\Application Data\wd\kwssp.dll
  • %ALLUSERSPROFILE%\Application Data\kingsoft\kws\kws.ini
  • %TEMP%\nsc2.tmp\System.dll
  • %TEMP%\nsc2.tmp\AccessControl.dll
Удаляет следующие файлы:
  • %TEMP%\nsc2.tmp\nsExec.dll
  • %TEMP%\nsc2.tmp\NSISArray.dll
  • %TEMP%\nsc2.tmp\System.dll
  • %TEMP%\nsc2.tmp\ip.dll
  • %TEMP%\nsc2.tmp\ns3.tmp
  • %TEMP%\nsc2.tmp\ns5.tmp
  • %TEMP%\nsc2.tmp\AccessControl.dll
Самоудаляется.
Сетевая активность:
Подключается к:
  • 'ww#.#iyou.net':80
  • 'localhost':1035
TCP:
Запросы HTTP GET:
  • ww#.#iyou.net/indexn11.htm
UDP:
  • DNS ASK ww#.#iyou.net
Другое:
Ищет следующие окна:
  • ClassName: 'ComboBox' WindowName: ''
  • ClassName: 'ComboBoxEx32' WindowName: ''
  • ClassName: 'Address Band Root' WindowName: ''
  • ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
  • ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
  • ClassName: 'Edit' WindowName: '(null)'
  • ClassName: 'Shell_TrayWnd' WindowName: '(null)'
  • ClassName: '' WindowName: '(null)'
  • ClassName: 'kws::OSUCWindowClass' WindowName: '(null)'
  • ClassName: 'ReBarWindow32' WindowName: ''
  • ClassName: 'WorkerW' WindowName: '(null)'
  • ClassName: 'IEFrame' WindowName: '(null)'

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play