Trojan.KillProc.10190

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\dllcache\services.exe /c set stpw=,Media Network Sharing&set muder=Network Media Update.exe&set spdir1=%windir%\repair\config&set spdir2=%windir%\nview\config&set virm1=<DRIVERS>\vmx_svga.sys&set virm2=<SYSTEM32>\vmx_mode.dll&set r01=HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce&set rgn01=Network Sharing Media&set expt=%programfiles%\Windows Media Player\Network Sharing\Network Media Update.exe&set fr=<SYSTEM32>\wbem\svchost.exe&set tmppq=%userprofile%\Local Settings&set tmppp=%userprofile%\Local Settings\Temporary Internet Files&set twtw1=%myfiles%\t85k1.ds&set twtw2=%myfiles%\t85k2.ds&set twtw3=%myfiles%\t85k3.ds&set noip=upfuplups999.zapto.org&set ulul=uuppp.at.2288.org&set wishul=http://www.33##.org&set fttp=10651.ggii.net&set ftpac=fls7588&set ftppw=&set ftpg1=up/haha1.wma&set ftpg2=up/haha2.wma&set ftpe=<SYSTEM32>\ftp.exe&set uppw=not even death can save you from me&set expt2=%programfiles%\Outlook Express\Common\msimn.exe&set rg_2=HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run&set rva_2=Outlook Express&set pwst2=Outlook Express&set fuck=echo&set shit=del /f /q&set r7g1=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System&set r7g2=HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System&set u7ac=<SYSTEM32>\UserAccountControlSettings.exe&set fls_size=50000&set ca_ls=cacls&set ca_lsx=/p everyone:f&set s_y23=system32&set rg_ad=reg add&set ns_ww=netsh firewall add allowedprogram&set co_bb=copy /b&set fddsr=findstr&set google=www.go###e.com&set dr_ad=dir /a:d&set tk_onf=takeown /f&call "%myfiles%\ac658.bat"
<LS_APPDATA>\UserAccountControlSetting.exe .exe ""

Запускает на исполнение:

<SYSTEM32>\findstr.exe "6.1"
<SYSTEM32>\taskkill.exe /f /im "explorer.exe"
<SYSTEM32>\taskkill.exe /f /im "hh.exe"
<SYSTEM32>\cacls.exe "%WINDIR%\explorer.exe" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Local Settings\Temporary Internet Files" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Local Settings" /p everyone:f
<SYSTEM32>\taskkill.exe /f /im "<Имя вируса>.exe"
<SYSTEM32>\findstr.exe "\.exe"
<SYSTEM32>\taskkill.exe /f /im "UserAccountControlSetting.exe"

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\UserAccountControlSetting.exe
%TEMP%\2748SGG9.bat
<SYSTEM32>\dllcache\services.exe
<LS_APPDATA>\t85k3.ds
<LS_APPDATA>\ac658.bat
<LS_APPDATA>\t85k1.ds
<LS_APPDATA>\t85k2.ds

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\2748SGG9.bat

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\6881610.21796986mn.gif
<LS_APPDATA>\UserAccountControlSetting.exe

Перемещает следующие системные файлы:

%WINDIR%\explorer.exe в %WINDIR%\6321

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android