Trojan.DownLoader3.37485

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'b9zrni' = '%APPDATA%\9j3nwaz.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\9j3nwaz.exe -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

Запускает на исполнение:

<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\nftmgqxl.bat"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mdinstall.inf
%APPDATA%\nftmgqxl.bat
%APPDATA%\9j3nwaz.exe
%APPDATA%\MouseDriver.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\MouseDriver.bat

Удаляет следующие файлы:

%APPDATA%\mdinstall.inf

Самоудаляется.

Сетевая активность:

Подключается к:

'w.#####ardiscover.com':888

UDP:

DNS ASK w.#####ardiscover.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android