Trojan.Gozi.1002

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\ZGvPmcKG] 'ImagePath' = '%CommonProgramFiles%\ZGvPmcKG'

Создает следующие сервисы

'ZGvPmcKG' %CommonProgramFiles%\ZGvPmcKG

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%CommonProgramFiles%\zgvpmckg
zgvpmckg

Изменяет следующие файлы

%APPDATA%\thunderbird\profiles\rehh7ft5.default-release\prefs.js

Самоперемещается

из <Полный путь к файлу> в \:w

Сетевая активность

Подключается к

'20#.#89.4.141':8000
'localhost':49221
'localhost':49218
'localhost':49215
'localhost':49211
'localhost':49209
'localhost':49206
'localhost':49224
'localhost':49203
'localhost':49197
'localhost':49194
'12#.#1.212.165':8011
'localhost':49189
'st####.zbcoku.cn':80
'localhost':49183
'localhost':49200
'localhost':49227

TCP

Запросы HTTP GET

http://st####.zbcoku.cn/api/index/getswitch?ba######################################
http://12#.##.212.165:8011/api/index/getip via 12#.#1.212.165
http://st####.zbcoku.cn/api/index/hduwiq?ba##################################################
http://st####.zbcoku.cn/api/gm/hduwiq?ba##################################################
http://st####.zbcoku.cn/api/index/hduwiq?&e################################################
http://st####.zbcoku.cn/api/gm/hduwiq?en###############################################
http://st####.zbcoku.cn/api/dsh/hduwiq?en####################################################
http://st####.zbcoku.cn/api/saiex/sssl?ba###############################################
http://st####.zbcoku.cn/api/obtain/hduwiq?en###############################################
http://st####.zbcoku.cn/api/ms/mssl?ba###############################################
http://st####.zbcoku.cn/api/ksiqw/kssl?ba###############################################
http://st####.zbcoku.cn/api/dlsk/dssl?ba###############################################
http://st####.zbcoku.cn/api/lander/lssl?ba######################################

Другие

'34.##9.100.209':443
'localhost':49184
'localhost':49190
'localhost':49195
'localhost':49198
'localhost':49201
'localhost':49204
'localhost':49207
'localhost':49210
'localhost':49212
'localhost':49216
'localhost':49219
'localhost':49222
'localhost':49225
'localhost':49228

UDP

DNS ASK st####.zbcoku.cn
'255.255.255.255':9089

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'HD_Speed'

Запускает на исполнение

'<SYSTEM32>\svchost.exe' -k netsvcs -p Themes
'<SYSTEM32>\svchost.exe'
'<SYSTEM32>\cmd.exe' /c nslookup support.microsoft.com (со скрытым окном)
'<SYSTEM32>\nslookup.exe' support.microsoft.com

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android