Trojan.Packed.29981

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'91.##1.12.127':81
'ma#####otics-japan.com':65535
'bl###edcode.net':8080
'en####untanats.org':65535
'aq###nics.net':2525
'5.###.165.160':2525
'am##u.me':65535
'fl##p.com':8081
'tg#.my':65535
'94.##7.28.29':8080
'fl##p.net':65535
'ml####tware.com.my':65535
'le####ojapan.com':8081
'an###nife.com':65535
'dd##s.com':8585
'ev###ntis.tv':8585
'fo###grafic.com':8585
'te###al.com.my':65535
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'fl##p.jp':65535
'la##bana.es':8585
'fu####enelbar.com':65535
'ks###ty.com.my':2525
'tg#.com.my':65535
'na####-kitchen.com':65535
'17#.#30.130.167':8080

TCP:

Запросы HTTP GET:

cu###yip.com/
my####rnalip.com/raw
ip##ddr.es/

UDP:

DNS ASK en####untanats.org
DNS ASK ma#####otics-japan.com
DNS ASK bl###edcode.net
DNS ASK fu####enelbar.com
DNS ASK aq###nics.net
DNS ASK am##u.me
DNS ASK fl##p.net
DNS ASK fl##p.com
DNS ASK tg#.my
DNS ASK ml####tware.com.my
DNS ASK le####ojapan.com
DNS ASK an###nife.com
DNS ASK te###al.com.my
DNS ASK dd##s.com
DNS ASK ev###ntis.tv
DNS ASK ip##ddr.es
DNS ASK my####rnalip.com
DNS ASK cu###yip.com
DNS ASK ks###ty.com.my
DNS ASK fl##p.jp
DNS ASK la##bana.es
DNS ASK fo###grafic.com
DNS ASK tg#.com.my
DNS ASK na####-kitchen.com

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android