Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.DownLoader11.13719
Добавлен в вирусную базу Dr.Web:
2014-06-01
Описание добавлено:
2014-06-01
Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\System Update kb77600] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
'%PROGRAM_FILES%\MSR\Privoxy\privoxy.exe'
'%WINDIR%\Microsoft\System Update kb77600\WindowsUpdater.exe'
Запускает на исполнение:
'<SYSTEM32>\msiexec.exe' -Embedding 1C42035EDEB28E7115C0F45127A3C127
'<SYSTEM32>\msiexec.exe' -Embedding AD20E9A7D0DC5177AD14D9C1DD867154 M Global\MSI0000
'<SYSTEM32>\msiexec.exe' /i "%TEMP%\MsiToExe.SetupExtension.msi" /q
'<SYSTEM32>\msiexec.exe' /V
Завершает или пытается завершить
следующие пользовательские процессы:
Изменяет следующие настройки браузера Windows Internet Explorer:
[\REGISTRY\USER\S-1-5-20_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[\REGISTRY\USER\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
[\REGISTRY\USER\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
[<HKCU>_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[\REGISTRY\USER\S-1-5-20_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
[\REGISTRY\USER\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[\REGISTRY\USER\S-1-5-19_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
[\REGISTRY\USER\S-1-5-19_CLASSES\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[\REGISTRY\USER\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8118;https=127.0.0.1:8118'
Изменения в файловой системе:
Создает следующие файлы:
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\installation.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\introduction.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\index.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\files-in-use.jpg
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\filter-file.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\quickstart.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\seealso.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\p_doc.css
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\proxy2.jpg
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\proxy_setup.jpg
%PROGRAM_FILES%\MSR\Privoxy\doc\p_doc.css
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\actions-file.html
%PROGRAM_FILES%\MSR\Privoxy\doc\images\proxy_setup.jpg
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\trouble.html
%PROGRAM_FILES%\MSR\Privoxy\doc\images\files-in-use.jpg
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\contact.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\copyright.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\configuration.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\appendix.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\config.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\startup.html
%PROGRAM_FILES%\MSR\Privoxy\templates\mod-unstable-warning
%PROGRAM_FILES%\MSR\Privoxy\templates\no-such-domain
%PROGRAM_FILES%\MSR\Privoxy\templates\mod-title
%PROGRAM_FILES%\MSR\Privoxy\templates\mod-local-help
%PROGRAM_FILES%\MSR\Privoxy\templates\mod-support-and-service
%PROGRAM_FILES%\MSR\Privoxy\user.filter
%PROGRAM_FILES%\MSR\Privoxy\user.filter_old
%PROGRAM_FILES%\MSR\Privoxy\user.action
%PROGRAM_FILES%\MSR\Privoxy\templates\url-info-osd.xml
%PROGRAM_FILES%\MSR\Privoxy\trust.txt
%PROGRAM_FILES%\MSR\Privoxy\mgwz.dll
%PROGRAM_FILES%\MSR\Privoxy\privoxy.exe
%PROGRAM_FILES%\MSR\Privoxy\LICENSE.txt
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\templates.html
%PROGRAM_FILES%\MSR\Privoxy\doc\user-manual\whatsnew.html
%PROGRAM_FILES%\MSR\Privoxy\templates\cgi-style.css
%PROGRAM_FILES%\MSR\Privoxy\templates\connect-failed
%PROGRAM_FILES%\MSR\Privoxy\README.txt
%PROGRAM_FILES%\MSR\Privoxy\privoxy.log
%PROGRAM_FILES%\MSR\Privoxy\privoxy_uninstall.exe
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\misc.html
%PROGRAM_FILES%\MSR\System Update kb77600\win32.reg
%PROGRAM_FILES%\MSR\System Update kb77600\ConfigurationData.dll
%PROGRAM_FILES%\MSR\System Update kb77600\SQLite.Interop.dll
%PROGRAM_FILES%\MSR\System Update kb77600\Installer.dll
%PROGRAM_FILES%\MSR\System Update kb77600\WindowsUpdater.exe
\Device\LanmanRedirector\CRNJEUFU*\MAILSLOT\NET\NETLOGON
%PROGRAM_FILES%\MSR\System Update kb77600\tmp.txt
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\MSI6.tmp
%PROGRAM_FILES%\MSR\System Update kb77600\InstallFirefoxExtension.InstallState
%TEMP%\CFG2.tmp
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\MSI1.tmp
%TEMP%\MsiToExe.SetupExtension.msi
%WINDIR%\Installer\33672.msi
%PROGRAM_FILES%\MSR\System Update kb77600\InstallerLibrary.dll
%PROGRAM_FILES%\MSR\System Update kb77600\InstallFirefoxExtension.dll
%PROGRAM_FILES%\MSR\System Update kb77600\Newtonsoft.Json.dll
%WINDIR%\Installer\MSI4.tmp
C:\Config.Msi\33675.rbs
%WINDIR%\Microsoft\System Update kb77600\win32.reg
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\webserver-update.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\configuration.html
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\testing.html
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\introduction.html
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\newrelease.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\index.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\installation.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\general.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\contact.html
%PROGRAM_FILES%\MSR\Privoxy\doc\faq\copyright.html
%WINDIR%\Microsoft\System Update kb77600\WindowsUpdater.exe
%PROGRAM_FILES%\MSR\Privoxy\AUTHORS.txt
%WINDIR%\Microsoft\System Update kb77600\ConfigurationData.dll
%WINDIR%\Microsoft\System Update kb77600\Installer.dll
%WINDIR%\Microsoft\System Update kb77600\InstallerLibrary.dll
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\documentation.html
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\index.html
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\cvs.html
%PROGRAM_FILES%\MSR\Privoxy\config.txt
%PROGRAM_FILES%\MSR\Privoxy\doc\developer-manual\coding.html
Удаляет следующие файлы:
%WINDIR%\Installer\MSI7.tmp
C:\Config.Msi\33675.rbs
%WINDIR%\Installer\33672.msi
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI1.tmp
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\MSI6.tmp
Сетевая активность:
Подключается к:
'zo##ar.info':80
'wp#d':80
TCP:
Запросы HTTP GET:
Запросы HTTP POST:
UDP:
DNS ASK zo##ar.info
DNS ASK wp#d
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK