Trojan.MulDrop5.2288

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\expand.exe' XIFFR3_0.DL_ <SYSTEM32>\XIFFR3_0.DLL
'<SYSTEM32>\expand.exe' IMGHELP.HL_ %WINDIR%\Help\IMGHELP.HLP
'<SYSTEM32>\expand.exe' IMGMGT.CH_ %WINDIR%\Help\IMGMGT.CHM
'<SYSTEM32>\expand.exe' OITWA400.DL_ <SYSTEM32>\OITWA400.DLL
'<SYSTEM32>\expand.exe' OIUI400.DL_ <SYSTEM32>\OIUI400.DLL
'<SYSTEM32>\expand.exe' TIFFLT.DL_ <SYSTEM32>\TIFFLT.DLL
'<SYSTEM32>\expand.exe' KODAKIMG.EX_ %WINDIR%\KODAKIMG.EXE
'<SYSTEM32>\expand.exe' KODAKPRV.EX_ %WINDIR%\KODAKPRV.EXE
'<SYSTEM32>\regsvr32.exe' IMGADMIN.OCX
'<SYSTEM32>\expand.exe' IMGMGT.HL_ %WINDIR%\Help\IMGMGT.HLP
'<SYSTEM32>\expand.exe' IMGTASKS.CH_ %WINDIR%\Help\IMGTASKS.CHM
'<SYSTEM32>\expand.exe' IMGVIEW.CH_ %WINDIR%\Help\IMGVIEW.CHM
'<SYSTEM32>\expand.exe' OISSQ400.DL_ <SYSTEM32>\OISSQ400.DLL
'<SYSTEM32>\expand.exe' IMGEDIT.OC_ <SYSTEM32>\IMGEDIT.OCX
'<SYSTEM32>\expand.exe' IMGSCAN.OC_ <SYSTEM32>\IMGSCAN.OCX
'<SYSTEM32>\expand.exe' IMGSHL.DL_ <SYSTEM32>\IMGSHL.DLL
'<SYSTEM32>\cmd.exe' /c ""C:\I386_IMAGING_XP\ImagingInstall.bat" "
'<SYSTEM32>\expand.exe' IMGADMIN.OC_ <SYSTEM32>\IMGADMIN.OCX
'<SYSTEM32>\expand.exe' IMGCMN.DL_ <SYSTEM32>\IMGCMN.DLL
'<SYSTEM32>\expand.exe' OIENG400.DL_ <SYSTEM32>\OIENG400.DLL
'<SYSTEM32>\expand.exe' OIPRT400.DL_ <SYSTEM32>\OIPRT400.DLL
'<SYSTEM32>\expand.exe' OISLB400.DL_ <SYSTEM32>\OISLB400.DLL
'<SYSTEM32>\expand.exe' IMGTHUMB.OC_ <SYSTEM32>\IMGTHUMB.OCX
'<SYSTEM32>\expand.exe' JPEG1X32.DL_ <SYSTEM32>\JPEG1X32.DLL
'<SYSTEM32>\expand.exe' JPEG2X32.DL_ <SYSTEM32>\JPEG2X32.DLL

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\jpeg2x32.dll
<SYSTEM32>\jpeg1x32.dll
<SYSTEM32>\oieng400.dll
<SYSTEM32>\oislb400.dll
<SYSTEM32>\oiprt400.dll
<SYSTEM32>\imgthumb.ocx
<SYSTEM32>\imgcmn.dll
<SYSTEM32>\imgadmin.ocx
<SYSTEM32>\imgedit.ocx
<SYSTEM32>\imgshl.dll
<SYSTEM32>\imgscan.ocx
<SYSTEM32>\oissq400.dll
%WINDIR%\Help\imgtasks.chm
%WINDIR%\Help\imgmgt.hlp
%WINDIR%\Help\imgview.chm
%WINDIR%\kodakprv.exe
%WINDIR%\kodakimg.exe
%WINDIR%\Help\imgmgt.chm
<SYSTEM32>\oiui400.dll
<SYSTEM32>\oitwa400.dll
<SYSTEM32>\tifflt.dll
%WINDIR%\Help\imghelp.hlp
<SYSTEM32>\xiffr3_0.dll
C:\I386_IMAGING_XP\IMGTHUMB.OC_
C:\I386_IMAGING_XP\JPEG2X32.DL_
C:\I386_IMAGING_XP\JPEG1X32.DL_
C:\I386_IMAGING_XP\OIENG400.DL_
C:\I386_IMAGING_XP\OISLB400.DL_
C:\I386_IMAGING_XP\OIPRT400.DL_
C:\I386_IMAGING_XP\IMGSHL.DL_
C:\I386_IMAGING_XP\IMGMGT.CH_
C:\I386_IMAGING_XP\ImagingInstall.bat
C:\I386_IMAGING_XP\IMGTASKS.CH_
C:\I386_IMAGING_XP\IMGCMN.DL_
C:\I386_IMAGING_XP\IMGVIEW.CH_
C:\I386_IMAGING_XP\OISSQ400.DL_
C:\I386_IMAGING_XP\IMGMGT.HL_
C:\I386_IMAGING_XP\IMGHELP.HL_
C:\I386_IMAGING_XP\IMGADMIN.OC_
C:\I386_IMAGING_XP\IMGSCAN.OC_
C:\I386_IMAGING_XP\IMGEDIT.OC_
C:\I386_IMAGING_XP\KODAKPRV.EX_
C:\I386_IMAGING_XP\OIUI400.DL_
C:\I386_IMAGING_XP\OITWA400.DL_
C:\I386_IMAGING_XP\TIFFLT.DL_
C:\I386_IMAGING_XP\KODAKIMG.EX_
C:\I386_IMAGING_XP\XIFFR3_0.DL_

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'EDIT' WindowName: '(null)'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android