Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.MulDrop5.42152
Добавлен в вирусную базу Dr.Web:
2014-11-20
Описание добавлено:
2014-11-20
Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\LdDisk.sys] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
'<SYSTEM32>\format.com' Y:/Q/FS:FAT/X/FORCE
Завершает или пытается завершить
следующие пользовательские процессы:
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
NtQueryInformationProcess, драйвер-обработчик: LdDisk.sys
NtQuerySystemInformation, драйвер-обработчик: LdDisk.sys
NtQueryDirectoryFile, драйвер-обработчик: LdDisk.sys
NtCreateFile, драйвер-обработчик: LdDisk.sys
NtOpenFile, драйвер-обработчик: LdDisk.sys
Изменения в файловой системе:
Создает следующие файлы:
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx.ldtmp
C:\InetPub\ftproot\Tipray\LdTerm\Log\CRNJEUFU_%USERNAME%\Ldx.log
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll.ldtmp
%TEMP%\@tiprayldx@\forbit.ini
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
\Device\LdDisk\LdDisk0\@tiprayldx@\<Имя вируса>\ЛчТэ.dwg.ldtmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
\Device\LdDisk\LdDisk0
<DRIVERS>\LdDisk.sys
C:\InetPub\ftproot\Tipray\LdTerm\Log\LdCab.log
C:\Ld\CRNJEUFU_%USERNAME%\LdDisk.img
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys.ldtmp
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll.ldtmp
Удаляет следующие файлы:
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat
\Device\LdDisk\LdDisk0\@tiprayldx@\<Имя вируса>\ЛчТэ.dwg
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe
Перемещает следующие файлы:
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat
\Device\LdDisk\LdDisk0\@tiprayldx@\<Имя вируса>\ЛчТэ.dwg.ldtmp в \Device\LdDisk\LdDisk0\@tiprayldx@\<Имя вируса>\ЛчТэ.dwg
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe
%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe
Другое:
Ищет следующие окна:
ClassName: 'MS_WINHELP' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK