Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.Carberp.2086
Добавлен в вирусную базу Dr.Web:
2020-07-14
Описание добавлено:
2020-07-16
Technical Information
To ensure autorun and distribution
Modifies the following registry keys
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\2f729b69-145f-48e8-90f5-2d4df4d1566a\D7DF.tmp.exe" --AutoStart'
Creates or modifies the following files
%APPDATA%\microsoft\windows\start menu\programs\startup\rjateiva.lnk
<SYSTEM32>\tasks\opera scheduled autoupdate 711520318
<SYSTEM32>\tasks\time trigger task
Sets the following service settings
[<HKLM>\System\CurrentControlSet\Services\rvimjaaf] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\rvimjaaf] 'ImagePath' = '%WINDIR%\SysWOW64\rvimjaaf\ccdojkiq.exe /d"%TEMP%\DE87.tmp.exe"'
Creates the following services
'rvimjaaf' %WINDIR%\SysWOW64\rvimjaaf\ccdojkiq.exe /d"%TEMP%\DE87.tmp.exe"
Malicious functions
Executes the following
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul
Reads files which store third party applications passwords
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
Modifies file system
Creates the following files
%APPDATA%\microsoft\windows\rjateiva\suarviur.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\x1od3t9m\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zqit9l9q\desktop.ini
%TEMP%\is-5lts7.tmp\6ed3.tmp.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\cvm8amvx\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%LOCALAPPDATA%\bowsakkdestx.txt
%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\updatewin1.exe
C:\systemid\personalid.txt
%APPDATA%\mozilla\firefox\profiles\gn7ryp~1.def\cookies.sqlite-shm
%LOCALAPPDATA%\google\chrome\userda~1\default\login data.bak
%TEMP%\logo.gif
%TEMP%\config.ini
%TEMP%\is-ndq92.tmp\directultramediaburner.exe.config
%TEMP%\is-ndq92.tmp\idp.dll
%TEMP%\is-ndq92.tmp\_isetup\_shfoldr.dll
%TEMP%\is-ndq92.tmp\_isetup\_setup64.tmp
%TEMP%\77fc.tmp.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\5b8orxuy\desktop.ini
%TEMP%\6ed3.tmp.exe
%TEMP%\5e77.tmp.exe
%TEMP%\ee28.tmp.exe
%LOCALAPPDATA%\2f729b69-145f-48e8-90f5-2d4df4d1566a\d7df.tmp.exe
%TEMP%\ccdojkiq.exe
%TEMP%\de87.tmp.exe
%TEMP%\d7df.tmp.exe
%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\updatewin2.exe
%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\5.exe
Sets the 'hidden' attribute to the following files
%APPDATA%\microsoft\windows\rjateiva\suarviur.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\x1od3t9m\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\5b8orxuy\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zqit9l9q\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\cvm8amvx\desktop.ini
Deletes the following files
<SYSTEM32>\tasks\time trigger task
Moves the following files
from %TEMP%\ccdojkiq.exe to %WINDIR%\syswow64\rvimjaaf\ccdojkiq.exe
Deletes itself.
Network activity
TCP
HTTP GET requests
http://www.ms###csi.com/ncsi.txt
http://37.##.127.236/2.php
http://lo####cebook.info/promo/lload/id48923983/e2ob.exe
http://at#####kyday0003.top/down/id9.exe
http://hu####.uufjffff.com//iuww/kkgee.exe
http://cj##.top/sgfjsgdfgsgddagdpen4/get.php?pi#############################################
http://cj##.top/files/penelop/updatewin1.exe
http://cj##.top/files/penelop/updatewin2.exe
http://cj##.top/files/penelop/updatewin.exe
http://cj##.top/files/penelop/3.exe
http://cj##.top/files/penelop/4.exe
http://cj##.top/files/penelop/5.exe
HTTP POST requests
http://gh###8kjhb.net/
http://cl####leankkl.net/
http://do###n2222.com/cfg/?da###########################################
http://fr####video.cloud/business/receive
'ap#.2ip.ua':443
'ul###########urner.s3.eu-west-2.amazonaws.com':443
'yi#.su':443
UDP
DNS ASK gh###8kjhb.net
DNS ASK cl####leankkl.net
DNS ASK ap#.2ip.ua
DNS ASK lo####cebook.info
DNS ASK at#####kyday0003.top
DNS ASK hu####.uufjffff.com
DNS ASK ul###########urner.s3.eu-west-2.amazonaws.com
DNS ASK do###n2222.com
DNS ASK fr####video.cloud
DNS ASK yi#.su
DNS ASK cj##.top
Miscellaneous
Creates and executes the following
'%TEMP%\d7df.tmp.exe'
'%TEMP%\6ed3.tmp.exe'
'%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\updatewin2.exe'
'%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\updatewin1.exe'
'%TEMP%\is-5lts7.tmp\6ed3.tmp.tmp' /SL5="$F0138,146532,62464,%TEMP%\6ED3.tmp.exe"
'%TEMP%\d7df.tmp.exe' --Admin IsNotAutoStart IsNotTask
'%TEMP%\77fc.tmp.exe'
'%TEMP%\5e77.tmp.exe'
'%WINDIR%\syswow64\rvimjaaf\ccdojkiq.exe' /d"%TEMP%\DE87.tmp.exe"
'%TEMP%\ee28.tmp.exe'
'%TEMP%\de87.tmp.exe'
'%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\5.exe'
'%LOCALAPPDATA%\758a8bbc-cee8-497a-a42a-1c17545dcfbc\updatewin1.exe' --Admin
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\ccdojkiq.exe" %WINDIR%\SysWOW64\rvimjaaf\' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\rvimjaaf\' (with hidden window)
'%WINDIR%\syswow64\sc.exe' start rvimjaaf' (with hidden window)
'%WINDIR%\syswow64\sc.exe' description rvimjaaf "wifi internet conection"' (with hidden window)
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\2f729b69-145f-48e8-90f5-2d4df4d1566a" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (with hidden window)
'%WINDIR%\syswow64\sc.exe' create rvimjaaf binPath= "%WINDIR%\SysWOW64\rvimjaaf\ccdojkiq.exe /d\"%TEMP%\DE87.tmp.exe\"" type= own start= auto DisplayName= "wifi support"' (with hidden window)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (with hidden window)
Executes the following
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\rvimjaaf\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\ccdojkiq.exe" %WINDIR%\SysWOW64\rvimjaaf\
'%WINDIR%\syswow64\sc.exe' create rvimjaaf binPath= "%WINDIR%\SysWOW64\rvimjaaf\ccdojkiq.exe /d\"%TEMP%\DE87.tmp.exe\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\2f729b69-145f-48e8-90f5-2d4df4d1566a" /deny *S-1-1-0:(OI)(CI)(DE,DC)
'%WINDIR%\syswow64\sc.exe' description rvimjaaf "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start rvimjaaf
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK