ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Adware.Mac.Tuguu.1

Добавлен в вирусную базу Dr.Web: 2015-11-06

Описание добавлено:

SHA1

  • 1b41c5e14f17d3a695c94fcbe696294ec0bc96f2 (dmg)
  • a6a6d0050d9ac5d69eef7228cfd0fb4480e06bb1 (mach-o)

Установщик нежелательных приложений для операционной системы OS X. При запуске считывает файл ".payload" из папки, в котором находится приложение. В его ресурсах имеется другой файл "payload", но он не используется. Данный файл имеет следующий вид:

хост|hex-encoded json

Формат JSON:

{
 "publisher": "790",
 "uid": "14375585952507RhhhlENdR",
 "campaign": "1882", 
 "extra": {
      "ttbpromo": "DDL", 
      "ttbaff": "54ec7d5f5f1c1e2452000008", 
      "nrid": "14375585952507RhhhlENdR", 
      "ip": "213.***.**.60", 
      "tt": "aac2d73c437d76f03ba0609d4e2a6bcae556aa8e", 
      "ttbtt": "ddl", 
      "lpd": "www.best*****pp.com", 
      "ttbhash": "IP1lNCYV", 
      "requestHost": "admin.best*****file.com", 
      "ttbvar": "", 
      "referer": "", 
      "build": "469", 
      "time": "2015/07/22 10:49:55", 
      "ttbts": "55759fba5f1c1e6c39000000", 
      "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.118 Safari/537.36", 
      "fileName": "MPlayer", 
      "osVersion": "0", 
      "os": "MacOSX", 
      "browser": "ch"
 }, 
 "url": "", 
 "usedBrowser": "ch", 
 "sign": "sm1",
 "caption": "", 
 "host": "domain.com", 
 "carrier": "FastPlayerMac"
}

После запуска инсталлятор заменяет поддомен управляющего сервера на значение «api», например, если в конфигурационном файле использовался URL "admin.best*****file.com", в качестве адреса управляющего сервера будет использоваться "api.best*****file.com".

С целью получения списка приложений, которые будут предложены для установки, инсталлятор формирует URL и шифрует его с использованием ключа, сгенерированного случайным образом. Для шифрования используется алгоритм AES в режиме СВС. Затем формируется строка:

hexencode(iv+key+encoded_url)

и делается запрос следующего вида:

http://api.<domen>/<hexencoded>

URL узла, с которого будут загружаться приложения для последующей установки, формируется так:

http://api.<domen>/stan/api/<publisher>/<campaign>/<carrier>/<language>/<region>/?browser=<browser>&ip=<ip>

Из файла конфигурации заимствуются следующие поля:

publisher
campaign
carrier
ip
browser

В качестве параметра переменной browser могут использоваться значения:

 ["ff", "ch", "sf","op"]

Все остальные поля заполняются данными, определяющимися исходя из параметров операционной системы.

Ответ управляющего сервера также зашифрован при помощи ключа, зашитого в тело инсталлятора, и содержит перечень программ, которые могут быть проинсталлированы на пользовательский «мак». Отклик имеет следующие основные поля:

  • id - идентификатор устанавливаемого приложения. Существует как минимум 736 приложений, если судить по имеющимся id.
  • score – условный «вес» приложения. Поскольку максимальное количество программ, которые могут быть предложены к установке, ограниченно, каждому из них присваивается некий условный «вес», и инсталлятор пытается создать список из неконфликтующего ПО с максимально допустимым «весом».
  • appUrl – адрес для скачивания файла.
  • restrictions - список id тех приложений, которые не могут быть предложены вместе с текущим. Например, если в списке приложений имеется MacKeeper и MacKeeper Grouped, то они не будут предложены для установки вместе.

Для каждого приложения определены три поля, содержащие сценарии JavaScript, зашифрованные с помощью Base64:

  • preCheck - проверка, установлено ли уже данное приложение в системе;
  • macBehavior - код, устанавливающий приложение;
  • postCheck - проверка, успешно ли прошла установка приложения.

В диалоговом окне при запуске программы предусмотрен режим Custom Installation, в случае выбора которого на экране будут продемонстрированы флажки, позволяющие полностью отказаться от всех дополнительных приложений.

screen Adware.Mac.Tuguu.1 #drweb

Новость об угрозе

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2021

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А