BackDoor.Wirenet.590

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\6_99\QXCKHJ~1.PIF %APPDATA%\6_99\dhpdp.pia'

Malicious functions

Injects code into

the following system processes:

%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe

Modifies file system

Creates the following files

%APPDATA%\6_99\unffx.iem
%APPDATA%\6_99\qlfmbdo.log
%APPDATA%\6_99\fibwusgi.jpg
%APPDATA%\6_99\epoiqucrq.xl
%APPDATA%\6_99\hvrulplnp.msc
%APPDATA%\6_99\hsevaupu.docx
%APPDATA%\6_99\stvskmwxu.icm
%APPDATA%\6_99\mfnqu.xml
%APPDATA%\6_99\pvptpulw.icm
%APPDATA%\6_99\xjftt.bmp
%APPDATA%\6_99\kbbaiwnhhp.xml
%APPDATA%\6_99\sedgbt.dat
%APPDATA%\6_99\dwoaalfe.msc
%APPDATA%\6_99\bauhvdss.ico
%APPDATA%\6_99\tknjlafjo.xls
%APPDATA%\6_99\fqfw.docx
%APPDATA%\6_99\rvvki.bmp
%APPDATA%\6_99\emkwt.xml
%APPDATA%\6_99\iwdubv.ini
%APPDATA%\6_99\gkmicqat.mp3
%APPDATA%\6_99\onknjo.mp3
%APPDATA%\6_99\pfsfqabl.cpl
%APPDATA%\6_99\vqiit.log
%APPDATA%\6_99\wrkxxrjrvw.icm
%APPDATA%\6_99\lkwpva.exe
%APPDATA%\6_99\pqrwuges.bin
%APPDATA%\6_99\mmkrusrh.icm
%APPDATA%\6_99\ibgqplf.xml
%APPDATA%\6_99\agpkacv.jpg
%APPDATA%\6_99\pucj.dat
%APPDATA%\6_99\mfjw.ico
%APPDATA%\6_99\rxqdflkst.ini
%APPDATA%\6_99\rbkeui.jpg
%APPDATA%\6_99\tciugn.dat
%APPDATA%\6_99\osvfetkhbt.exe
%APPDATA%\6_99\iighaawfak.bin
%APPDATA%\6_99\hwlgmku.pdf
%APPDATA%\6_99\jxefrrtqrg.log
%APPDATA%\6_99\bsxilbje.exe
%APPDATA%\6_99\hutb.mp3
%APPDATA%\6_99\mtnxmw.ppt
%APPDATA%\6_99\okoc.xl
%APPDATA%\6_99\ktfemfknx.xml
%APPDATA%\6_99\lqohbhq.ini
%APPDATA%\6_99\apqxlgtnw.mp3
%APPDATA%\6_99\tgfvlhmwbb.mp3
%APPDATA%\6_99\avhhbqmi.ppt
%APPDATA%\6_99\mcfgdkicg.bin
%APPDATA%\6_99\uuvigfic.ico
%APPDATA%\6_99\lhaoh.ini
%APPDATA%\6_99\uneg.dat
%APPDATA%\6_99\ndecu.ppt
%APPDATA%\6_99\jsmfjbkmn.dll
%APPDATA%\6_99\jwlfgjiova.bin
%APPDATA%\6_99\tifxr.xml
%APPDATA%\6_99\wdqssio.exe
%APPDATA%\6_99\qxckhjveq.pif
%APPDATA%\6_99\dhpdp.pia
%APPDATA%\6_99\cbmksgkln.jpg
%APPDATA%\6_99\vuihnn.bin
%APPDATA%\6_99\hgtsqn.cpl
%APPDATA%\6_99\kgmrbkvgj.xls
%APPDATA%\6_99\qafrowfqp.xls
%APPDATA%\6_99\udwxgn.bmp
%APPDATA%\6_99\stxvqcdrec.xls
%APPDATA%\6_99\ccnxpd.docx
%APPDATA%\6_99\iogxde.xls
%APPDATA%\6_99\jomdjbh.log
%APPDATA%\6_99\iqbrclxu.jpg
%APPDATA%\6_99\iloiunlqb.bmp
%APPDATA%\6_99\oiaa.icm
%APPDATA%\6_99\xxgurmgv.icm
%APPDATA%\6_99\vfokdag.ppt
%APPDATA%\6_99\hnberqvneu.ini
%APPDATA%\6_99\cdekfqrr.dat
%APPDATA%\6_99\lnmkwjwoc.docx
%APPDATA%\6_99\fpoq.log
%APPDATA%\6_99\frhdu.ini
%APPDATA%\6_99\bundrkgt.ppt
%APPDATA%\6_99\frwrujw.xml
%APPDATA%\6_99\dxvendl.cpl
%APPDATA%\6_99\manxrd.ico
%APPDATA%\6_99\pxumrgqs.pdf
%HOMEPATH%\temp\cbmksgkln.jpg

Sets the 'hidden' attribute to the following files

%APPDATA%\6_99\qxckhjveq.pif

Network activity

Connects to

'21#.#93.30.230':3363

Miscellaneous

Searches for the following windows

ClassName: 'EDIT' WindowName: ''

Creates and executes the following

'%APPDATA%\6_99\qxckhjveq.pif' dhpdp.pia

Executes the following

'%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта

Скачать с Google Play

Завантажте
Dr.Web для Android

Безкоштовно на 3 місяці
Всі компоненти захисту
Подовження демо в
AppGallery/Google Pay

Технології

Терміни

Навчання

Міфи

Technical Information

Рекомендации по лечению

Демо бесплатно на 14 дней