Trojan.DownLoader12.19189

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'C:\qetp.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\TXGYMailCamera.dll
<SYSTEM32>\TXGYMailActiveX.dll
<SYSTEM32>\TXFTNActiveX.dll
%WINDIR%\WinSxS\Manifests\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989.cat
%WINDIR%\WinSxS\Manifests\x86_Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_473666fd.Manifest
%WINDIR%\WinSxS\Manifests\x86_Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_473666fd.cat
%APPDATA%\Tencent\QQMusic\Temp\{A6CED2F3-C0D8-4AA6-934B-D8AEA1A2FC54}.tmp
%APPDATA%\Tencent\QQMusic\Temp\{7631E8B0-7A5E-43D4-90F0-DC6F0966CBFC}.tmp
%APPDATA%\Tencent\QQMusic\rdb.cache
<DRIVERS>\QQProtect.sys
%ALLUSERSPROFILE%\Application Data\Tencent\QQProtect\atf.dat
%APPDATA%\Tencent\QQPCMgr\Download\History.ini
%WINDIR%\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989\msvcr80.dll
%WINDIR%\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989\msvcp80.dll
%WINDIR%\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989\msvcm80.dll
%WINDIR%\Log\20150205.log
%TEMP%\{645035AE-6194-4c73-867A-7C72B2D3F0DE}\BackEnd.xml
C:\qetp.exe
%WINDIR%\WinSxS\Policies\x86_policy.8.0.Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_x-ww_5f0bbcff\8.0.50727.4053.Policy
%WINDIR%\WinSxS\Policies\x86_policy.8.0.Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_x-ww_5f0bbcff\8.0.50727.4053.cat
%WINDIR%\WinSxS\Manifests\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989.Manifest
%WINDIR%\WinSxS\x86_Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_473666fd\ATL80.dll
%WINDIR%\WinSxS\Policies\x86_policy.8.0.Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_x-ww_77c24773\8.0.50727.4053.Policy
%WINDIR%\WinSxS\Policies\x86_policy.8.0.Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_x-ww_77c24773\8.0.50727.4053.cat
%APPDATA%\Tencent\QQMusic\QQMusicLyric\lyric.dat
%APPDATA%\Tencent\QQ\QQProtect\QQProtectCloud.dat
%APPDATA%\Tencent\QQ\QQProtect\QPInfo.db
%APPDATA%\Tencent\Logs\regsvr32.tlg
%APPDATA%\Tencent\QQLive\user.ini
%APPDATA%\Tencent\QQLive\FollowQQLive.ini
%APPDATA%\Tencent\QQ\QQProtect\Registry.db
%APPDATA%\Tencent\Logs\QQ.tlg
%APPDATA%\Tencent\Config\p2p_common.ini
%APPDATA%\Tencent\Config\p2p_6_svr.ini
%APPDATA%\Tencent\Logs\QQProtect.tlg
%APPDATA%\Tencent\Logs\QQMusic.tlg
%APPDATA%\Tencent\Logs\QQExternal.tlg
%APPDATA%\Tencent\QQMusic\MonitorQQMusic.ini
%APPDATA%\Tencent\QQMusic\Modules\Modules.config
%APPDATA%\Tencent\QQMusic\Modules\10.22.4319.410\ApdMon.dll
%APPDATA%\Tencent\QQMusic\QQMusicLyric\associate.dat
%APPDATA%\Tencent\QQMusic\QQMusicCache\此为QQ音乐的缓存目录.txt
%APPDATA%\Tencent\QQMusic\qmdbex
%APPDATA%\Tencent\QQMusic\FeedbackProblem.xml
%APPDATA%\Tencent\QQMusic\ConfigInfo2.dat
%APPDATA%\Tencent\QQMusic\ComData\qmcomdata.ini
%APPDATA%\Tencent\QQMusic\Log\QQMusicExternal\QQMusicExternal(1024.4437)20140710155128.log
%APPDATA%\Tencent\QQMusic\Log\QQMusic\QQMusic(1024.4437)20140710155121.log
%APPDATA%\Tencent\QQMusic\Log\QQMusic\QQMusic(1024.4437)20140710155050.log

Сетевая активность:

Подключается к:

'do####.awangba.com.cn':80
'localhost':1038

TCP:

Запросы HTTP GET:

do####.awangba.com.cn/proj/proj.xml

UDP:

DNS ASK do####.awangba.com.cn

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'EDIT' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android