Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

BackDoor.Maxplus.3845

Добавлен в вирусную базу Dr.Web: 2012-03-04

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = ''
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = ''
Создает следующие сервисы:
  • [<HKLM>\SYSTEM\ControlSet001\Services\.afd] 'ImagePath' = '\?'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\winlogon.exe
  • %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
  • %WINDIR%\$NtUninstallKB27979$\4121336045\@
  • %WINDIR%\$NtUninstallKB27979$\4121336045\cfg.ini
  • %WINDIR%\$NtUninstallKB27979$\4121336045\Desktop.ini
  • %WINDIR%\$NtUninstallKB27979$\4121336045\L\alehhooo
Самоудаляется.
Сетевая активность:
Подключается к:
  • '80.##.234.138':34355
  • '18#.#94.53.71':34355
  • '31.#9.72.79':34355
  • '20#.#46.11.34':34355
  • '94.##5.86.147':34355
  • '15#.#1.179.160':34355
  • '85.##.83.124':34355
  • '18#.#01.209.47':34355
  • '10#.#18.197.173':34355
  • '18#.#22.127.96':34355
  • '18#.#10.77.203':34355
  • '15#.#3.180.136':34355
  • '94.##1.22.186':34355
  • '17#.#19.133.249':34355
  • '17#.#3.13.199':34355
  • '66.#1.6.149':34355
  • '18#.#7.34.113':34355
  • '18#.#2.138.18':34355
  • '10#.#9.77.112':34355
  • '69.##4.161.219':34355
  • '18#.#8.78.219':34355
  • '18#.#9.149.155':34355
  • '99.##7.149.11':34355
  • '24.##9.83.26':34355
  • '75.##0.26.96':34355
  • '93.##6.211.106':34355
  • '82.##.92.106':34355
  • '18#.#6.28.210':34355
  • '68.##3.16.29':34355
  • '18#.#17.242.17':34355
  • '18#.#17.80.47':34355
  • '74.#15.3.63':34355
  • '18#.#23.106.197':34355
  • '18#.#8.112.202':34355
  • '17#.#5.82.199':34355
  • '18#.#27.56.245':34355
  • '17#.#18.103.172':34355
  • '2.###.252.85':34355
  • '79.##.108.139':34355
  • '12#.#36.151.215':34355
  • '93.##6.211.103':34355
  • '85.##7.219.161':34355
  • '88.#3.58.33':34355
  • '18#.#5.166.135':34355
  • '98.##8.162.151':34355
  • 'localhost':34355
  • '82.##.103.199':34355
  • '93.##3.156.56':34355
  • '84.##5.60.65':34355
  • '18#.#6.254.125':34355
  • '17#.#5.201.85':34355
  • '12#.#36.156.149':34355
  • '18#.#10.67.65':34355
  • '98.##4.202.109':34355
  • '97.##.139.82':34355
  • '74.#15.3.68':34355
  • '67.##4.126.194':34355
  • '87.##0.119.36':34355
  • '17#.#8.122.12':34355
  • '14.##.152.153':34355
  • '15#.#0.34.216':34355
  • '95.##3.180.27':34355
  • '89.##4.166.209':34355
  • '17#.#.246.198':34355
  • '74.##.120.121':34355
  • '17#.#02.226.159':34355
  • '17#.#29.102.35':34355
  • '17#.#98.88.17':34355
  • '75.##6.41.255':34355
  • '15#.#6.10.132':34355
  • '14.##.226.112':34355
  • '18#.#9.79.95':34355
  • '93.##0.106.185':34355
  • '17#.#1.217.95':34355
  • '18#.#1.234.88':34355
  • '17#.#18.160.19':34355
  • '18#.#27.122.223':34355
  • '18#.#8.9.229':34355
  • '41.##1.55.33':34355
  • '20#.#04.191.142':34355
  • '21#.#01.89.128':34355
  • '91.##1.103.241':34355
  • '12.##.142.44':34355
  • '78.##1.95.53':34355
  • '15#.#6.104.1':34355
  • '12#.#36.174.247':34355
  • '18#.#6.172.128':34355
  • '98.##6.156.2':34355
  • '18#.29.3.21':34355
  • '20#.#.27.226':34355
  • '2.###.210.203':34355
  • '98.##.189.107':34355
  • '12#.#19.73.153':34355
  • '17#.#02.227.23':34355
  • '14#.#96.181.106':34355
  • '17#.#.241.156':34355
  • '72.##7.231.42':34355
  • '18#.#9.108.178':34355
  • '86.##6.69.126':34355
  • '14.##.130.114':34355
  • '18#.#8.9.199':34355
  • '98.##2.253.78':34355
  • '82.##.35.237':34355
  • '2.##4.1.27':34355
  • '18#.#5.26.30':34355
  • '12.##.140.112':34355
  • '18#.#3.150.156':34355
  • '93.##6.216.80':34355
  • '74.##0.161.229':34355
  • '85.##7.214.152':34355
  • '18#.#17.135.90':34355
  • '12#.#85.218.51':34355
  • '18#.#04.253.57':34355
  • '18#.#8.125.31':34355
  • '75.##1.108.161':34355
  • '21#.#83.38.49':34355
  • '17#.#18.238.40':34355
  • '17#.4.44.83':34355
  • '18#.#16.75.70':34355
  • '68.##.233.20':34355
  • '17#.#7.173.218':34355
  • '18#.#5.190.152':34355
  • '84.#7.66.48':34355
  • '18#.#55.179.171':34355
  • '14.#6.81.54':34355
  • '41.##8.38.186':34355
  • '14.##5.56.139':34355
  • '18#.#4.231.240':34355
  • '84.#3.42.74':34355
  • '81.##0.121.4':34355
  • '17#.#8.240.26':34355
  • '17#.#03.195.38':34355
  • '85.##1.157.59':34355
  • '20#.#61.234.206':34355
  • '24.##4.130.174':34355
  • '18#.#3.255.20':34355
  • '94.##7.103.196':34355
  • '78.##1.89.239':34355
  • '2.###.237.106':34355
  • '24.##0.155.251':34355
  • '71.##.85.148':34355
  • '20#.#9.186.37':34355
  • '10#.#75.197.15':34355
  • '17#.#5.200.159':34355
  • '74.##1.195.168':34355
  • '17#.#4.166.154':34355
  • '20#.#2.32.37':34355
  • '18#.#10.64.115':34355
  • '14.##.255.232':34355
  • '20#.#3.83.117':34355
  • '15#.#.24.147':34355
  • '18#.#2.219.231':34355
  • '75.##3.46.104':34355
  • '65.##4.20.57':34355
  • '76.##9.201.162':34355
  • '85.#4.1.80':34355
  • '69.##8.221.195':34355
  • '20#.#60.70.175':34355
  • '76.##.94.219':34355
  • '91.##.213.44':34355
  • '20#.#2.39.206':34355
  • '95.##3.162.235':34355
  • '18#.#3.31.81':34355
  • '71.##4.180.118':34355
  • '98.##8.106.221':34355
  • '94.##.131.66':34355
  • '17#.#34.71.200':34355
  • '71.#0.32.45':34355
  • '67.##.156.166':34355
  • '18#.#4.220.24':34355
  • '18#.#7.54.72':34355
  • 'pr####.fling.com':80
  • '17#.#2.190.142':80
  • '18#.#4.128.167':34355
  • '18#.#94.54.128':34355
  • '68.#5.42.23':34355
  • '76.##2.146.34':34355
  • '74.##.73.124':34355
  • '78.##1.133.98':34355
  • '24.##.205.55':34355
  • '71.##.31.183':34355
  • '18#.#5.50.117':34355
  • '75.##8.125.46':34355
  • '67.##.143.63':34355
  • '77.##1.99.26':34355
  • '18#.#5.131.112':34355
  • '18#.#8.81.70':34355
  • '12.##4.216.198':34355
  • '20#.#7.157.100':34355
  • '98.##0.254.98':34355
  • '67.##9.170.249':34355
  • '46.##3.199.226':34355
  • '87.##.227.185':34355
  • '68.##3.175.45':34355
  • '86.##6.68.15':34355
  • '67.##1.215.235':34355
  • '18#.#4.37.246':34355
  • '74.#15.6.16':34355
  • '18#.#17.210.105':34355
  • '18#.#0.201.134':34355
  • '31.##.125.11':34355
  • '71.#5.83.14':34355
  • '70.##7.31.238':34355
  • '66.##6.100.100':34355
  • '76.##.198.168':34355
  • '18#.#7.170.237':34355
  • '74.##3.75.206':34355
  • '20#.#61.234.40':34355
  • '77.##.156.74':34355
  • '12.##.140.122':34355
  • '82.#.152.74':34355
  • '88.##.89.233':34355
  • '17#.#57.158.217':34355
  • '12#.#37.233.117':34355
  • '18#.#17.137.127':34355
  • '17#.#19.115.62':34355
  • '18#.#8.47.46':34355
  • '50.##9.234.3':34355
  • '91.##2.76.70':34355
  • '18#.#9.4.104':34355
  • '20#.95.69.5':34355
  • '17#.#0.117.89':34355
  • '31.#6.85.10':34355
  • '99.##8.50.209':34355
  • '68.##4.15.68':34355
  • '18#.#.88.234':34355
  • '71.##8.33.167':34355
  • '75.##8.133.6':34355
  • '18#.#8.93.44':34355
  • '18#.13.8.43':34355
  • '78.#4.50.33':34355
  • '18#.#2.64.119':34355
  • '81.##.45.204':34355
  • '69.##.58.100':34355
  • '82.##.131.11':34355
  • '98.##9.200.123':34355
  • '68.##.147.226':34355
  • '24.#7.1.246':34355
  • '18#.#9.146.198':34355
  • '18#.#17.142.174':34355
  • '18#.#7.228.243':34355
  • '75.##2.94.197':34355
  • '82.##2.148.121':34355
  • '24.#6.9.159':34355
  • '18#.79.2.46':34355
  • '18#.#1.16.221':34355
  • '89.##.212.167':34355
  • '98.##0.215.108':34355
  • '83.##.218.125':34355
  • '84.##.71.228':34355
  • '17#.#9.218.111':34355
  • '18#.#4.100.121':34355
  • '2.##2.0.227':34355
  • '65.#5.27.96':34355
  • '18#.#6.148.252':34355
  • '62.##7.247.92':34355
  • '18#.#4.247.248':34355
TCP:
Запросы HTTP GET:
  • 17#.#2.190.142/stat2.php?w=#############################################
  • 17#.#2.190.142/stat2.php?w=############################################
  • pr####.fling.com/geo/txt/city.php
UDP:
  • DNS ASK v{#?t
  • DNS ASK v{#�G
  • DNS ASK v{#�J3/
  • DNS ASK v{#�-١
  • DNS ASK v{#��6n
  • DNS ASK v{#i��
  • DNS ASK v{#���
  • DNS ASK v{#f6^�
  • DNS ASK v{#�8%
  • DNS ASK v{#E#�|
  • DNS ASK pr####.fling.com
  • DNS ASK v{#\Q�N
  • DNS ASK v{#0�[�
  • DNS ASK v{#�o��
  • DNS ASK v{#S��
  • '8.#.8.8':1035

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке