Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.DownLoader26.59088
Добавлен в вирусную базу Dr.Web:
2018-07-22
Описание добавлено:
2018-07-22
Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LogMeIn Hamachi Ui' = '"%ProgramFiles%\LogMeIn Hamachi\hamachi-2-ui.exe" --auto-start'
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
[<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
Creates the following services:
[<HKLM>\SYSTEM\ControlSet001\Services\LMIGuardianSvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\LMIGuardianSvc] 'ImagePath' = '"%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe"'
[<HKLM>\SYSTEM\ControlSet001\Services\hamachi] 'ImagePath' = 'system32\DRIVERS\hamachi.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\Hamachi2Svc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Hamachi2Svc] 'ImagePath' = '"%ProgramFiles%\LogMeIn Hamachi\hamachi-2.exe" -s'
Modifies file system:
Creates the following files:
%TEMP%\aut1.tmp
%ProgramFiles%\LogMeIn Hamachi\ReleaseNotes.rtf
%ProgramFiles%\LogMeIn Hamachi\hamachi.lng
%ALLUSERSPROFILE%\Start Menu\Programs\LogMeIn Hamachi\LogMeIn Hamachi.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\LogMeIn Hamachi\Uninstall.lnk
%WINDIR%\Installer\MSIB.tmp
%WINDIR%\Installer\MSIC.tmp
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%ProgramFiles%\LogMeIn Hamachi\hamachi-2.exe
%ProgramFiles%\LogMeIn Hamachi\hamachi-2-ui.exe
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\CabD.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%WINDIR%\inf\oem3.inf
%WINDIR%\inf\oem3.PNF
%TEMP%\Cab15.tmp
%TEMP%\Cab17.tmp
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%ProgramFiles%\LogMeIn Hamachi\LMIGuardianEvt.Dll
%ProgramFiles%\LogMeIn Hamachi\LMIGuardianDll.dll
%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe
%WINDIR%\Installer\28c67.msi
%WINDIR%\Installer\MSI2.tmp
%TEMP%\HamachiSetup.log
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI6.tmp
%WINDIR%\Installer\28c69.ipi
%CommonProgramFiles%\~phegmgw.ibo
%WINDIR%\Installer\MSI7.tmp
C:\Config.Msi\28c6a.rbs
%WINDIR%\Installer\MSIA.tmp
%ProgramFiles%\LogMeIn Hamachi\hamachi.sys
%ProgramFiles%\LogMeIn Hamachi\hamachi.inf
%ProgramFiles%\LogMeIn Hamachi\hamachi.cat
%ProgramFiles%\LogMeIn Hamachi\hamdrv.sys
%ProgramFiles%\LogMeIn Hamachi\hamdrv.inf
%ProgramFiles%\LogMeIn Hamachi\hamdrv.cat
%WINDIR%\Installer\MSI8.tmp
<DRIVERS>\SET19.tmp
%WINDIR%\Installer\MSI1A.tmp
Sets the 'hidden' attribute to the following files:
%CommonProgramFiles%\~phegmgw.ibo
Deletes the following files:
%TEMP%\aut1.tmp
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI6.tmp
%WINDIR%\Installer\MSI8.tmp
%WINDIR%\Installer\MSIA.tmp
%WINDIR%\Installer\MSIB.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab17.tmp
%WINDIR%\Installer\MSIC.tmp
Moves the following files:
from <DRIVERS>\SET19.tmp to <DRIVERS>\hamachi.sys
Network activity:
Connects to:
'wp#d':80
'download.windowsupdate.com':80
TCP:
HTTP GET requests:
http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
UDP:
DNS ASK wp#d
DNS ASK www.download.windowsupdate.com
Miscellaneous:
Searches for the following windows:
ClassName: '' WindowName: 'Hardware Installation'
Creates and executes the following:
'%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe' -Service
'%ProgramFiles%\LogMeIn Hamachi\hamachi-2.exe' --add-tap-at-install Hamachi
'%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe' /escort 3112 /CUSTOM Hamachi
'%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe'
'%ProgramFiles%\LogMeIn Hamachi\hamachi-2.exe' --config Hamachi
'%ProgramFiles%\LogMeIn Hamachi\LMIGuardianSvc.exe' /escort 3748 /CUSTOM Hamachi
Executes the following:
'<SYSTEM32>\msiexec.exe' /i "%CommonProgramFiles%\~phegmgw.ibo" /quiet /norestart
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding 24A07191AD034E5651A7D054C0449052
'<SYSTEM32>\msiexec.exe' -Embedding 768AE4C60E33855EC9F1AD42FC9B17C2 M Global\MSI0000
'<SYSTEM32>\sc.exe' config Hamachi2Svc depend= winmgmt
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\netsh.exe' interface set interface name="Local Area Connection 2" newname="Hamachi"
'<SYSTEM32>\netsh.exe' interface ipv6 delete route ::/0 "Hamachi"
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK