Trojan.DownLoader3.61131

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'u0y0hx' = '%APPDATA%\yr11tk.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\yr11tk.exe -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

Запускает на исполнение:

<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\mftmgpwl.bat"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mdinstall.inf
%APPDATA%\mftmgpwl.bat
%APPDATA%\yr11tk.exe
%APPDATA%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\MouseDriver.bat

Удаляет следующие файлы:

%APPDATA%\mdinstall.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'w.#####ardiscover.com':888

UDP:

DNS ASK w.#####ardiscover.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android