Trojan.DownLoader11.28018

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ncfsecu] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\ncnwdrv] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\N5Client Agent] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\NetClient5\n5client.exe' = '<SYSTEM32>\NetClient5\n5client.exe:*:Enabled:n5client'

Создает и запускает на исполнение:

'<SYSTEM32>\NetClient5\n5start.exe'
'<SYSTEM32>\NetClient5\n5client.exe'
'%TEMP%\nckill.exe'
'<SYSTEM32>\NetClient5\n5agent.exe'

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' -c firewall add allowedprogram program="<SYSTEM32>\NetClient5\n5client.exe" name="n5client"

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\NetClient5\Packet_2.dll
<SYSTEM32>\NetClient5\rc\CallC03.dll
<SYSTEM32>\NetClient5\rc\cgdhook.dll
<SYSTEM32>\NetClient5\npptools.dll
<SYSTEM32>\NetClient5\ncwinmgr.exe
<SYSTEM32>\NetClient5\NetChat.exe
<SYSTEM32>\NetClient5\nipf.sys
<SYSTEM32>\NetClient5\rc\NetGUI.dll
<SYSTEM32>\NetClient5\rc\NETVXD.VXD
<SYSTEM32>\NetClient5\rc\NrAlram.exe
<SYSTEM32>\NetClient5\rc\Markup.exe
<SYSTEM32>\NetClient5\rc\DrFtc.exe
<SYSTEM32>\NetClient5\rc\DrFts.exe
<SYSTEM32>\NetClient5\rc\hncrcm_kor.xml
<SYSTEM32>\NetClient5\NCDISK.VXD
<SYSTEM32>\NetClient5\ncfsdll.dll
<SYSTEM32>\NetClient5\ncfsecu.sys
<SYSTEM32>\NetClient5\n5wu.dll
<SYSTEM32>\NetClient5\n5wa.exe
<SYSTEM32>\NetClient5\n5wa_COM.dll
<SYSTEM32>\NetClient5\n5wm.dll
<SYSTEM32>\NetClient5\ncnw64.sys
<SYSTEM32>\NetClient5\ncnwdll.dll
<SYSTEM32>\NetClient5\ncnwdrv.sys
<SYSTEM32>\NetClient5\ncmsg.exe
<SYSTEM32>\NetClient5\ncfsx64.sys
<SYSTEM32>\NetClient5\ncguard.sys
<SYSTEM32>\NetClient5\NCMessage.exe
<SYSTEM32>\NetClient5\rc\SZLIB.DLL
<SYSTEM32>\NetClient5\secedit.exe
<SYSTEM32>\NetClient5\spk_inst.exe
<SYSTEM32>\NetClient5\rc\rcinst64.exe
<SYSTEM32>\NetClient5\rc\nrinst02.exe
<SYSTEM32>\NetClient5\rc\nrinst03.exe
<SYSTEM32>\NetClient5\rc\rcinst32.exe
<DRIVERS>\ncnwdrv.sys
<DRIVERS>\ncfsecu.sys
%WINDIR%\Temp\cpuz134\cpuz134_x32.sys
%ALLUSERSPROFILE%\Start Menu\Programs\NetClient5\ClientUI.lnk
<SYSTEM32>\NetClient5\unicows.dll
<SYSTEM32>\NetClient5\WanPacket_2.dll
<SYSTEM32>\NetClient5\wpcap_2.dll
<SYSTEM32>\NetClient5\rc\NRCX1.DLL
<SYSTEM32>\NetClient5\rc\NRCX2.DLL
<SYSTEM32>\NetClient5\rc\nrdrvnt1.dll
<SYSTEM32>\NetClient5\rc\NrConnSvc.exe
<SYSTEM32>\NetClient5\rc\Nrcdc1.dll
<SYSTEM32>\NetClient5\rc\Nrcdc2.dll
<SYSTEM32>\NetClient5\rc\Nrcdc3.dll
<SYSTEM32>\NetClient5\rc\nrdrvnt3.sys
<SYSTEM32>\NetClient5\rc\NrHost.exe
<SYSTEM32>\NetClient5\rc\nrinst01.exe
<SYSTEM32>\NetClient5\rc\nrdrvnt3.dll
<SYSTEM32>\NetClient5\rc\nrdrvnt1.sys
<SYSTEM32>\NetClient5\rc\nrdrvnt2.dll
<SYSTEM32>\NetClient5\rc\nrdrvnt2.sys
<SYSTEM32>\NetClient5\n5dt.dll
<SYSTEM32>\NetClient5\n5dtdlg.exe
<SYSTEM32>\NetClient5\n5dtndlg.exe
<SYSTEM32>\NetClient5\n5datsec.dll
<SYSTEM32>\NetClient5\n5cmd01.dll
<SYSTEM32>\NetClient5\n5cmd02.dll
<SYSTEM32>\NetClient5\n5crt.dll
<SYSTEM32>\NetClient5\n5fw.dll
<SYSTEM32>\NetClient5\n5hddreq.exe
<SYSTEM32>\NetClient5\n5hw.exe
<SYSTEM32>\NetClient5\n5ftc.dll
<SYSTEM32>\NetClient5\n5esw.dll
<SYSTEM32>\NetClient5\n5eswmsg.exe
<SYSTEM32>\NetClient5\n5EventViewer.exe
<SYSTEM32>\NetClient5\cabinet.dll
<SYSTEM32>\NetClient5\cpuidsdk.dll
<SYSTEM32>\NetClient5\Libnet_2.dll
%TEMP%\ncfsdll.dll
%TEMP%\nc5.cab
%TEMP%\nckill.exe
%TEMP%\ncpmdll.dll
<SYSTEM32>\NetClient5\n5basic.dll
<SYSTEM32>\NetClient5\n5client.exe
<SYSTEM32>\NetClient5\n5clientui.exe
<SYSTEM32>\NetClient5\n5agent64.exe
<SYSTEM32>\NetClient5\n5ad.dll
<SYSTEM32>\NetClient5\n5ad.exe
<SYSTEM32>\NetClient5\n5agent.exe
<SYSTEM32>\NetClient5\n5sy.dll
<SYSTEM32>\NetClient5\n5sylogon.exe
<SYSTEM32>\NetClient5\n5trbm.exe
<SYSTEM32>\NetClient5\n5sw_block.exe
<SYSTEM32>\NetClient5\n5start.exe
<SYSTEM32>\NetClient5\n5sw.dll
<SYSTEM32>\NetClient5\n5swmsg.exe
<SYSTEM32>\NetClient5\n5usbreq.exe
<SYSTEM32>\NetClient5\n5vac.dll
<SYSTEM32>\NetClient5\n5vacex.dll
<SYSTEM32>\NetClient5\n5uinfo.exe
<SYSTEM32>\NetClient5\n5trenq.exe
<SYSTEM32>\NetClient5\n5trm.dll
<SYSTEM32>\NetClient5\n5ua.dll
<SYSTEM32>\NetClient5\n5msg.bin
<SYSTEM32>\NetClient5\n5nwblk.dll
<SYSTEM32>\NetClient5\n5pchk.exe
<SYSTEM32>\NetClient5\n5lgz.dll
<SYSTEM32>\NetClient5\n5ipmgr.exe
<SYSTEM32>\NetClient5\n5ipreq.exe
<SYSTEM32>\NetClient5\n5lgn.exe
<SYSTEM32>\NetClient5\n5sf9x.dll
<SYSTEM32>\NetClient5\n5sfNT.dll
<SYSTEM32>\NetClient5\n5shf.dll
<SYSTEM32>\NetClient5\n5SecCheck.dll
<SYSTEM32>\NetClient5\n5printV2.dll
<SYSTEM32>\NetClient5\n5rchk.exe
<SYSTEM32>\NetClient5\n5repeat.dll

Удаляет следующие файлы:

%TEMP%\nckill.exe
%WINDIR%\Temp\cpuz134\cpuz134_x32.sys
%TEMP%\nc5.cab
%TEMP%\ncpmdll.dll
%TEMP%\ncfsdll.dll

Сетевая активность:

Подключается к:

'20#.#53.31.236':7221

Другое:

Ищет следующие окна:

ClassName: 'MPWClass' WindowName: '(null)'
ClassName: '(null)' WindowName: 'NetClient ???????? ????'

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта

Скачать с Google Play

Поздравляем! Обменяйте их на скидку до 50% на покупку Dr.Web.

Получить скидку

Скачайте
Dr.Web для Android

Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через
AppGallery/Google Pay

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней