Для коректної роботи нашого сайта необхідно включити підтримку JavaScript у Вашому браузері.
Trojan.Siggen9.17172
Добавлен в вирусную базу Dr.Web:
2020-03-04
Описание добавлено:
2020-08-26
Technical Information
To ensure autorun and distribution
Sets the following service settings
[<HKLM>\System\CurrentControlSet\Services\DNS-Service] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\DNS-Service] 'ImagePath' = '"%WINDIR%\SysWOW64\drivers\svchîst.exe"'
Creates the following services
'DNS-Service' "%WINDIR%\SysWOW64\drivers\svchГ®st.exe"
Malicious functions
Executes the following
'%WINDIR%\syswow64\taskkill.exe' /f /im rutserv.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im rfusclient.exe
'%WINDIR%\syswow64\netsh.exe' firewall add portopening TCP 5650 "Open Port 5650"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Open Port 5650" dir=in action=allow protocol=TCP localport=5650
Modifies file system
Creates the following files
%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
%WINDIR%\syswow64\drivers\install.exe
%WINDIR%\syswow64\drivers\ssleay32.dll
%WINDIR%\syswow64\drivers\libeay32.dll
%WINDIR%\syswow64\drivers\svchГ®st.exe
%TEMP%\windowsexcel\2020.1\setup.exe
%TEMP%\$inst\0001.tmp
%TEMP%\is-6e14r.tmp\setup.tmp
%TEMP%\is-hkl2l.tmp\_isetup\_setup64.tmp
%TEMP%\is-hkl2l.tmp\setup_55-58.bmp
%TEMP%\is-hkl2l.tmp\yandex_logo.bmp
%TEMP%\101.ico
%PROGRAMDATA%\domain name system servis\install.log
%WINDIR%\syswow64\idfgvgjnghcdfb.reg
Sets the 'hidden' attribute to the following files
%WINDIR%\syswow64\idfgvgjnghcdfb.reg
%WINDIR%\syswow64\drivers\svchГ®st.exe
Deletes the following files
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\2.tmp
%WINDIR%\syswow64\drivers\install.exe
Substitutes the following files
Miscellaneous
Searches for the following windows
ClassName: '' WindowName: ''
Creates and executes the following
'%TEMP%\windowsexcel\2020.1\setup.exe'
'%TEMP%\is-6e14r.tmp\setup.tmp' /SL5="$10270,9566406,493568,%TEMP%\WindowsExcel\2020.1\setup.exe"
'%WINDIR%\syswow64\drivers\install.exe'
'%WINDIR%\syswow64\drivers\svchГ®st.exe' /silentinstall
'%WINDIR%\syswow64\drivers\svchГ®st.exe' /firewall
'%WINDIR%\syswow64\drivers\svchГ®st.exe' /start
'%WINDIR%\syswow64\drivers\svchГ®st.exe'
'%WINDIR%\syswow64\cmd.exe' /c if exist "<SYSTEM32>\idfgvgjnghcdfb.reg" (goto& cd <DRIVERS>& attrib +h +s "svchГ®st.exe"& attrib -h -s "install.exe"& del /f /q "install.exe"& attrib -h -s "install.cmd"& del /f /q "install...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f& REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t R...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f74696...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e6773207...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e6773207665...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696...' (with hidden window)
'%WINDIR%\syswow64\cmd.exe' /c reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f' (with hidden window)
Executes the following
'%WINDIR%\syswow64\cmd.exe' /c if exist "<SYSTEM32>\idfgvgjnghcdfb.reg" (goto& cd <DRIVERS>& attrib +h +s "svchГ®st.exe"& attrib -h -s "install.exe"& del /f /q "install.exe"& attrib -h -s "install.cmd"& del /f /q "install...
'%WINDIR%\syswow64\attrib.exe' +h +s "svchГ®st.exe"
'%WINDIR%\syswow64\attrib.exe' +h +s "<SYSTEM32>\idfgvgjnghcdfb.reg"
'%WINDIR%\syswow64\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696e677320...
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f746966696361...
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e67732076657273...
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e67732076657273696...
'%WINDIR%\syswow64\ping.exe' 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' /c reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696...
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e6773207665...
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e6773207...
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f74696...
'%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\Remote Manipulator System" /f
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t REG_BINARY /d 0000000000000000000000000300000057005300010000000000000001000000000000000100000000000000 /f
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f& REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t R...
'%WINDIR%\syswow64\attrib.exe' -h -s "install.exe"
'%WINDIR%\syswow64\attrib.exe' -h -s "install.cmd"
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Завантажте Dr.Web для Android
Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в AppGallery/Google Pay
Подальший перегляд даного сайта означає, що Ви погоджуєтесь на використання нами cookie-файлів та інших технологій збору статистичних відомостей про відвідувачів. Докладніше
OK