Trojan.Siggen32.46182

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\{a5e1f15e-5796-4355-b9e2-33909a690b03}
<SYSTEM32>\tasks\{4bb20afb-f81d-4ca5-846d-7ad51a8f4281}
<SYSTEM32>\tasks\{34b6878c-9728-4b1a-83b7-a27ffadb255d}
<SYSTEM32>\tasks\{39b13c97-7aaa-43fa-ac44-e5f703ff2c70}
<SYSTEM32>\tasks\{cb8cdc37-7f48-45d2-a6c7-4b1d23ad37f9}
<SYSTEM32>\tasks\{a1d6e0f4-3952-47f2-9408-7fd17225ca26}
<SYSTEM32>\tasks\{f89b1b63-181d-4d8b-8c3d-af1aff17ec33}
<SYSTEM32>\tasks\{bc58f722-3ed7-46e9-92c7-8737ec3c7407}
<SYSTEM32>\tasks\{c9cdd559-14ca-4f4a-b99b-5ed00ec09731}
<SYSTEM32>\tasks\{b1175941-e1fa-4d11-a5ab-7985e7387e0b}
<SYSTEM32>\tasks\{ee22fc8d-92e8-4839-a7a2-8c53b29125b8}
<SYSTEM32>\tasks\{94cb28e2-b80d-46d8-9cc0-4892ea0bb1be}
<SYSTEM32>\tasks\{382c71f3-7832-4218-8445-27edb08a66cd}
<SYSTEM32>\tasks\{df06d345-7344-4aea-814d-8c624c043dc2}

Вредоносные функции

Патчит код

в динамической библиотеке AMSI

Процесс xbkdlwtx.exe.exe, модуль Amsi.dll
Процесс realtekhdaudiomanager, модуль Amsi.dll

в динамической библиотеке NTDLL

Процесс xbkdlwtx.exe.exe, модуль ntdll.dll
Процесс realtekhdaudiomanager, модуль ntdll.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\xbkdlwtx.exe.exe
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%HOMEPATH%\music\realtekhdaudiomanager
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\xbkdlwtx.exe.exe.log
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\realtekhdaudiomanager.log

Сетевая активность

Подключается к

'fu######45553.portmap.host':45553

TCP

Другие

'fu######45553.portmap.host':45553

UDP

DNS ASK Fu######45553.portmap.host

Другое

Создает и запускает на исполнение

'%TEMP%\xbkdlwtx.exe.exe'
'%HOMEPATH%\music\realtekhdaudiomanager'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' netsh advfirewall firewall add rule name="CEj9=SaD=jJh=e" dir=in action=allow program="%HOMEPATH%\music\realtekhdaudiomanager" enable=yes & exit
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /mo 1 /tn "" /tr "%HOMEPATH%\music\realtekhdaudiomanager" /RL HIGHEST & exit
'<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "" /tr "%HOMEPATH%\music\realtekhdaudiomanager" /RL HIGHEST

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android