ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.Mayachok.18831

Добавлен в вирусную базу Dr.Web: 2014-08-21

Описание добавлено:

Вредоносная программа, распространяемая преимущественно в массовых почтовых рассылках, предназначена для встраивания постороннего содержимого в просматриваемые пользователем веб-страницы с применением технологии веб-инжектов. Троянец способен сохранять и отправлять злоумышленникам снимки экрана зараженного компьютера, а также загружать из Интернета и запускать на инфицированном компьютере другие вредоносные приложения.

После запуска троянец проверяет наличие своей работающей копии с другим PID, при обнаружении таковой завершает работу. Проверяет наличие запущенных процессов популярных антивирусных программ и виртуальных машин: cpf.exe, MsMpEng.exe, msseces.exe, avp.exe, dwengine.exe, ekrn.exe, AvastSvc.exe, avgnt.exe, avgrsx.exe, ccsvchst.exe, Mcshield.exe, bdagent.exe, uiSeAgnt.exe, vmtoolsd.exe, vmacthlp.exe, vpcmap.exe, vmsrvc.exe, vmusrvc.exe, VBoxService.exe.

Обращается к ветви системного реестра HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders для получения папки текущего пользователя, пытается прочитать из указанной папки ранее созданный им конфигурационный файл, а если это не удается, извлекает конфигурационные данные из собственного тела. Пример конфигурационного файла:

[dfr]
0="vertig***.com"
1="gigacirc***.com"
2="drivee***.com"
3="goog1a***.com"
[scripts]
amg="/amig***.php?i=33"
sfr="/hist***.php"
sfi="ZG9jdW…”

Генерирует второй конфигурационный файл, в котором содержится собранная на зараженном компьютере информация — эти данные шифруются TEA-подобным алгоритмом, кодируются в Base64 и отправляется на сервер методом POST. Соединение с командным сервером устанавливается либо при помощи функций socket() и connect(), либо с использованием функций библиотеки wininet.dll. Идентификатор инфицированного компьютера составляется из строки-идентификатора первого диска и MAC-адреса сетевой карты путем преобразования полученной строки в значение MD5 с использованием функций Windows CryptoAPI. Полученное значение в виде HEX-последовательности используется троянцем в качестве уникального идентификатора.

Пример отправляемых на сервер данных:

POST /dkcgb/bfbli/ikifm HTTP/1.1
Host: metrika.yandex.ru
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101 Firefox/31.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.5,en;q=0.3
Cache-Control: no-cache
Content-Type: application/x-www-form-urlencoded
Connection: Close
Content-Length: 258
 
efmcg=Nk0QWfL…

В 32-разрядных ОС троянец запускает процесс explorer.exe и при помощи функции NtQueueApcThread встраивается в него. Выполняемый в контексте explorer.exe код удаляет файл троянца, затем процессы с именами amigo.exe, explorer.exe, iexplore.exe, chrome.exe, firefox.exe, opera.exe, browser.exe, minerd.exe. Для каждого процесса запускается код инжекта, внутри которого происходит проверка имени процесса. Если троянец встроился в explorer.exe, запускаются три треда с потоками полезной нагрузки, в случае с другими процессами запускается процедура перехвата API.

В 64-разрядных ОС, если троянец запущен из файла %MYDOCUMENTS%\CommonData\winhlp31.exe, запускается три потока с кодом полезной нагрузки. Один из потоков устанавливает троянца в систему и регистрирует его в автозагрузке. Второй поток ожидает установки флага самоудаления и в случае установки такого флага удаляет троянца. Третий поток удаляет файлы cookies различных браузеров при помощи функций библиотеки sqlite3.dll и запрашивает с управляющих серверов конфигурационные данные. Троянец перехватывает как функции WinAPI, так и специфичные для браузеров функции для добавления в страницы постороннего содержимого методом веб-инжектов.

Может демонстрировать рекламные баннеры поверх просматриваемых пользователем в окне браузера веб-страниц:

screen

А также модифицировать содержимое страницы профиля жертвы в социальных сетях, размещая на них изображения и фото непристойного содержания.

При попытке редактирования анкеты требует оформления платной подписки, способен модифицировать сгенерированные сайтом оператора мобильной связи веб-страницы, содержащие форму оформления платной подписки, с целью скрыть от пользователя значимую информацию.

Новость об угрозе

Подробнее об угрозе

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2021

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А