Trojan.Siggen2.26477

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '222qo3j' = '%TEMP%\ypgz2y.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\ypgz2y.exe' -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
'%TEMP%\ypgz2y.exe'

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %TEMP%\mdinstall.inf
'<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\cmd.exe' /c %TEMP%\kcrkenui.bat
'<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
'<SYSTEM32>\net.exe' stop "Security Center"
'<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\net1.exe' stop "Security Center"
'<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\mdinstall.inf
%TEMP%\kcrkenui.bat
%TEMP%\ypgz2y.exe
%TEMP%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\MouseDriver.bat

Удаляет следующие файлы:

%TEMP%\mdinstall.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'w.#####ardiscover.com':888

UDP:

DNS ASK w.#####ardiscover.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: 'MS_AutodialMonitor' WindowName: '(null)'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android