Trojan.Inject4.37580

Technical Information

To ensure autorun and distribution

Creates or modifies the following files

%WINDIR%\tasks\at1.job
%WINDIR%\tasks\at36.job
<SYSTEM32>\tasks\at35
%WINDIR%\tasks\at35.job
<SYSTEM32>\tasks\at34
%WINDIR%\tasks\at34.job
<SYSTEM32>\tasks\at33
%WINDIR%\tasks\at33.job
<SYSTEM32>\tasks\at32
%WINDIR%\tasks\at32.job
<SYSTEM32>\tasks\at25
<SYSTEM32>\tasks\at31
<SYSTEM32>\tasks\at30
%WINDIR%\tasks\at30.job
<SYSTEM32>\tasks\at29
%WINDIR%\tasks\at29.job
<SYSTEM32>\tasks\at28
%WINDIR%\tasks\at28.job
<SYSTEM32>\tasks\at27
%WINDIR%\tasks\at27.job
<SYSTEM32>\tasks\at26
%WINDIR%\tasks\at31.job
%WINDIR%\tasks\at26.job
<SYSTEM32>\tasks\at36
<SYSTEM32>\tasks\at42
<SYSTEM32>\tasks\at47
%WINDIR%\tasks\at47.job
<SYSTEM32>\tasks\at46
%WINDIR%\tasks\at46.job
<SYSTEM32>\tasks\at45
%WINDIR%\tasks\at45.job
<SYSTEM32>\tasks\at44
%WINDIR%\tasks\at44.job
<SYSTEM32>\tasks\at43
<SYSTEM32>\tasks\at37
%WINDIR%\tasks\at37.job
%WINDIR%\tasks\at42.job
<SYSTEM32>\tasks\at41
%WINDIR%\tasks\at41.job
<SYSTEM32>\tasks\at40
%WINDIR%\tasks\at40.job
<SYSTEM32>\tasks\at39
%WINDIR%\tasks\at39.job
<SYSTEM32>\tasks\at38
%WINDIR%\tasks\at38.job
%WINDIR%\tasks\at43.job
%WINDIR%\tasks\at25.job
<SYSTEM32>\tasks\at24
%WINDIR%\tasks\at24.job
<SYSTEM32>\tasks\at10
%WINDIR%\tasks\at10.job
<SYSTEM32>\tasks\at9
%WINDIR%\tasks\at9.job
<SYSTEM32>\tasks\at8
%WINDIR%\tasks\at8.job
<SYSTEM32>\tasks\at7
%WINDIR%\tasks\at7.job
<SYSTEM32>\tasks\at11
<SYSTEM32>\tasks\at6
<SYSTEM32>\tasks\at5
%WINDIR%\tasks\at5.job
<SYSTEM32>\tasks\at4
%WINDIR%\tasks\at4.job
<SYSTEM32>\tasks\at3
%WINDIR%\tasks\at3.job
<SYSTEM32>\tasks\at2
%WINDIR%\tasks\at2.job
<SYSTEM32>\tasks\at1
%WINDIR%\tasks\at6.job
%WINDIR%\tasks\at12.job
%WINDIR%\tasks\at11.job
<SYSTEM32>\tasks\at12
<SYSTEM32>\tasks\at23
<SYSTEM32>\tasks\at18
%WINDIR%\tasks\at23.job
<SYSTEM32>\tasks\at22
%WINDIR%\tasks\at22.job
<SYSTEM32>\tasks\at21
%WINDIR%\tasks\at21.job
<SYSTEM32>\tasks\at20
%WINDIR%\tasks\at20.job
<SYSTEM32>\tasks\at19
%WINDIR%\tasks\at19.job
%WINDIR%\tasks\at18.job
%WINDIR%\tasks\at13.job
<SYSTEM32>\tasks\at17
%WINDIR%\tasks\at17.job
<SYSTEM32>\tasks\at16
%WINDIR%\tasks\at16.job
<SYSTEM32>\tasks\at15
%WINDIR%\tasks\at15.job
<SYSTEM32>\tasks\at14
%WINDIR%\tasks\at14.job
<SYSTEM32>\tasks\at13
%WINDIR%\tasks\at48.job
<SYSTEM32>\tasks\at48

Malicious functions

Modifies settings of Windows Internet Explorer

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'

Modifies file system

Creates the following files

%WINDIR%\fonts\i4i0e.com

Network activity

UDP

DNS ASK 60#.###############4dc4fda1531bb49dcb54451516d7a11ddb6.ofi.method.in
DNS ASK 6.#.#.###.##########.####19974.0.0.a4e7913fccc747e4dc4fda1531bb49dcb54451516d7a11ddb6.method.in
DNS ASK a4################4fda1531bb49dcb54451516d7a11ddb6.0.0.f3.method.in

Miscellaneous

Creates and executes the following

'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 20 /tn rxljaaqqku /f /ed 01/01/2017 /tr "%WINDIR%\Fonts\i4i0e.com"' (with hidden window)

Executes the following

'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 20 /tn rxljaaqqku /f /ed 01/01/2017 /tr "%WINDIR%\Fonts\i4i0e.com"

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта

Скачать с Google Play

Завантажте
Dr.Web для Android

Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в
AppGallery/Google Pay

Технології

Терміни

Навчання

Міфи

Technical Information

Рекомендации по лечению

Демо бесплатно на 14 дней