Trojan.Packed.31585

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'ph###bic.com':80
'gh####owered.net':80
'se###dir.net':80
'bu###ova.com':80
'ra###ma87.com':80
'da###ngroup.com':80
'ba###ttech.com':80
'fl##yak.org':80
'le##m.com':80
'cu###yip.com':80
'an##hin.org':80
'ip##ddr.es':80
'my####rnalip.com':80
'et####etport.com':80
'1t##buy.com':80
'ho##ar.info':80
'pr####ioncheck.com':80
'to###earn.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://ra###ma87.com/img2.php?m=##############
http://gh####owered.net/img3.php?i=##############
http://ph###bic.com/img1.php?p=##############
http://fl##yak.org/img4.php?p=##############
http://ba###ttech.com/renew/img2.php?z=##############
http://da###ngroup.com/img1.php?n=##############
http://le##m.com/img1.php?c=##############
http://bu###ova.com/robustb/img3.php?o=##############
http://pr####ioncheck.com/img5.php?m=##############
http://et####etport.com/img3.php?i=##############
http://an##hin.org/misc/img5.php?b=##############
http://to###earn.com/img2.php?q=##############
http://se###dir.net/img3.php?u=##############
http://ho##ar.info/img2.php?d=##############
http://1t##buy.com/img2.php?s=##############

UDP:

DNS ASK gh####owered.net
DNS ASK ra###ma87.com
DNS ASK ph###bic.com
DNS ASK se###dir.net
DNS ASK bu###ova.com
DNS ASK ba###ttech.com
DNS ASK ou######emediaexpert.com
DNS ASK da###ngroup.com
DNS ASK fl##yak.org
DNS ASK le##m.com
DNS ASK an##hin.org
DNS ASK et####etport.com
DNS ASK cu###yip.com
DNS ASK ip##ddr.es
DNS ASK my####rnalip.com
DNS ASK ho##ar.info
DNS ASK ci####ineral.com
DNS ASK 1t##buy.com
DNS ASK pr####ioncheck.com
DNS ASK to###earn.com

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android