Trojan.Siggen32.63486

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoft\windows\framework 4.0
<SYSTEM32>\tasks\microsoft\windows\bluetooth\updatedevicetask

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Патчит код

в динамической библиотеке AMSI

Процесс lyzx.exe, модуль Amsi.dll
Процесс applaunch.exe, модуль Amsi.dll

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\microsoft.net\framework\applaunch.exe
%WINDIR%\appcompat\programs\install\bluetooth.exe
%WINDIR%\microsoft.net\framework\sbscmp16.dll
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\microsoft.net\framework\applaunch.exe
%WINDIR%\appcompat\programs\install\bluetooth.exe

Сетевая активность

Подключается к

'au#####grid.hopto.org':7979

UDP

DNS ASK om#####hift.hopto.org
DNS ASK ma#######rden.3utilities.com
DNS ASK ve#####stream.hopto.org
DNS ASK lu#####ore.hopto.org
DNS ASK ca######signal.hopto.org
DNS ASK sh#####engine.hopto.org
DNS ASK ze####re.hopto.org
DNS ASK or#####tream.hopto.org
DNS ASK st#####arbor.hopto.org
DNS ASK ph######harbor.hopto.org
DNS ASK at######ctor.ddnsking.com
DNS ASK vo#####canyon.hopto.org
DNS ASK no######hor.ddnsking.com
DNS ASK qu######node.ddnsking.com
DNS ASK ve######-grid.ddnsking.com
DNS ASK fa######rray.ddnsking.com
DNS ASK st######frame.ddnsking.com
DNS ASK cr######vault.bounceme.net
DNS ASK mi######-orbit.bounceme.net
DNS ASK ci######orge.bounceme.net
DNS ASK lu#######cuit.3utilities.com
DNS ASK no#####lse.bounceme.net
DNS ASK ae######ink.3utilities.com
DNS ASK te######sion.3utilities.com
DNS ASK fu#####peak.hopto.org
DNS ASK on#####ream.hopto.org
DNS ASK fr######ctor.bounceme.net
DNS ASK mi######-forge.bounceme.net
DNS ASK cr######node.3utilities.com
DNS ASK qu#######rairie.3utilities.com
DNS ASK sh######rbit.bounceme.net
DNS ASK de######rge.3utilities.com
DNS ASK ne######nchor.bounceme.net
DNS ASK ho######grid.ddnsking.com
DNS ASK ve######park.bounceme.net
DNS ASK ob#######harbor.bounceme.net
DNS ASK si######undra.bounceme.net
DNS ASK ph######array.ddnsking.com
DNS ASK lu######de.3utilities.com
DNS ASK ru######eam.3utilities.com
DNS ASK ae######idge.3utilities.com
DNS ASK au#####grid.hopto.org

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework\applaunch.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'<SYSTEM32>\schtasks.exe' /Create /TN "Microsoft\Windows\Framework 4.0" /TR "\"%WINDIR%\Microsoft.NET\Framework\AppLaunch.exe\"" /SC MINUTE /MO 2 /RL HIGHEST /F
'<SYSTEM32>\schtasks.exe' /Create /TN "Microsoft\Windows\Bluetooth\UpdateDeviceTask" /TR "\"%WINDIR%\appcompat\Programs\Install\Bluetooth.exe\"" /SC MINUTE /MO 30 /RL HIGHEST /F

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android