Trojan.DownLoader22.54100

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Defragmenter Portable Event Provider' = '<SYSTEM32>\nquqennw.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Topology Interactive Application Session] 'ImagePath' = '<SYSTEM32>\nquqennw.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\Topology Interactive Application Session] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'<SYSTEM32>\mljvfkzu.exe' "<SYSTEM32>\nquqennw.exe"
'%WINDIR%\Temp\cgdjkfh30xkhsmvg.exe' -r 38457 tcp
'%TEMP%\cgdjkf6ec94bsmvgjkacznag.exe'
'<SYSTEM32>\nquqennw.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\xjegiyyvbsk\run
<SYSTEM32>\xjegiyyvbsk\cli
%WINDIR%\Temp\cgdjkfh30xkhsmvg.exe
<SYSTEM32>\xjegiyyvbsk\cfg
<SYSTEM32>\xjegiyyvbsk\rng
%TEMP%\cgdjkf6ec94bsmvgjkacznag.exe
<SYSTEM32>\xjegiyyvbsk\tst
<SYSTEM32>\mljvfkzu.exe
<SYSTEM32>\nquqennw.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\mljvfkzu.exe
<SYSTEM32>\nquqennw.exe

Удаляет следующие файлы:

%WINDIR%\Temp\cgdjkfh30xkhsmvg.exe
%TEMP%\cgdjkf6ec94bsmvgjkacznag.exe

Сетевая активность:

Подключается к:

'37.##7.63.219':50602
'18#.#65.104.145':45008
'86.##4.126.152':23231
'15#.#07.210.4':44623
'79.##3.34.155':43508
'18#.#67.1.18':42180
'5.##.62.195':47417
'77.##.55.117':31682
'80.##2.10.214':41484
'80.##.66.108':29550
'89.##1.181.195':43555
'12#.#48.184.138':22753
'82.##.150.250':22168
'93.##.250.22':32603
'21#.#96.205.219':26711
'78.##0.0.117':24043
'89.#8.19.34':34500
'17#.#48.207.100':42994
'2.##.82.71':38208
'20#.#73.223.145':31518
'19#.#62.204.91':33663
'18#.#09.100.197':38624
'22#.#33.7.15':36869
'18#.#49.12.110':37632
'96.##1.40.41':45199
'20#.#72.223.53':44980
'18#.#60.21.42':38691
'89.##1.180.225':46767
'2.##.157.30':24049
'21#.#65.147.120':35870
'17#.#3.13.35':49290
'18#.#6.127.67':28383
'24.##2.117.1':52492
'18#.#.140.132':28999
'79.##8.201.56':26663
'94.##2.148.82':24190
'19#.#1.73.50':48756
'19#.#9.188.210':38762
'18#.#04.253.77':39416
'12#.#50.28.127':49226
'78.#37.5.8':42689
'5.###.21.134':34794
'18#.#74.243.33':43628
'89.##8.124.9':36574
'17#.#1.54.62':20719
'18#.15.2.6':49864
'18#.#5.31.231':42367
'21#.#05.209.234':27487
'93.##4.243.213':23812
'10#.#1.62.132':34316
'96.##.178.218':52067
'18#.#17.238.220':40677
'94.##.212.130':25339
'82.##.111.91':37018
'10#.#9.196.173':39164
'94.##0.236.74':33972
'76.##.175.131':48738
'20#.#71.184.94':37354
'73.##2.42.76':46528
'62.#3.112.9':47513
'19#.#37.82.143':42148
'73.#47.2.46':49347
'18#.#8.185.198':21894
'96.##5.154.66':47756
'18#.#6.195.35':27419
'93.##.138.102':25143
'14#.#55.137.157':45199
'67.##.129.32':40009
'46.##.221.250':21649
'46.##.58.149':21429

UDP:

'23#.#55.255.250':1900

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android