Підтримка
Цілодобова підтримка | Правила звернення

Зателефонуйте

Глобальна підтримка:
+7 (495) 789-45-86

Поширені запитання |  Форум |  Бот самопідтримки Telegram

Ваші запити

  • Всі: -
  • Незакриті: -
  • Останій: -

Зателефонуйте

Глобальна підтримка:
+7 (495) 789-45-86

Зв'яжіться з нами Незакриті запити: 

Профіль

Профіль

Trojan.StartPage.64393

Добавлен в вирусную базу Dr.Web: 2014-05-17

Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
  • [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{DD20621B-4285-4D3F-ABDF-98AFB552ED5B}] 'Exec' = 'http://dy1.qdal.cn'
  • [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{E32C4654-8650-42E3-AD1C-9597BF7D32B1}] 'Exec' = 'http://www.baidu.com/index.php?tn=qdsjr_pg'
  • [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{35871651-58D1-4D0C-84CB-D0F1D0940CAA}] 'Exec' = 'http://www.qdal.cn'
  • [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B3F38EFC-CE02-4F11-9DB7-67C2BE490337}] 'Exec' = 'http://www.qd89.com'
Создает следующие сервисы:
  • [<HKLM>\SYSTEM\ControlSet001\Services\PolicyAgent] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\qmgr.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\wdata32.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\GOOGLE.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\txplatform.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\soundxvolumns.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\update.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\acpidisk.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\dosss11.dll /perm /setowner=
  • '%WINDIR%\qdal\ipseccmd.exe' -w reg -p Block:1 -r filterlist1 -f 61.156.8.189+0 76.73.27.246+0 59.34.216.51+0 59.34.198.97+0 121.10.108.80+0 218.60.134.203+0 218.60.129.184+0 218.60.129.154+0 121.10.104.25+0 67.159.0.76+0 67.159.24.46+0 75.126.6.94+0 98.126.2.69+0 66.90.104.167+0 76.73.47.206+0 119.147.115.231+0 208.53.144.14+0 121.12.168.96+0 98.126.35.227+0 76.73.88.198+0 59.34.198.31+0 76.73.12.62+0 60.191.72.55+0 60.191.187.12+0 203.171.228.144+0 98.126.38.20+0 222.180.65.156+0 -n BLOCK
  • '%WINDIR%\qdal\ipseccmd.exe' -w reg -p Block -x
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\Migsni.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\addrlib.dat /perm /setowner=
  • '<SYSTEM32>\wbem\ipend.exe' /Noverbose /file=directoriesonly <SYSTEM32>\nskhelper2.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\nspass3.sys /perm /setowner=
  • '%PROGRAM_FILES%\Baidu\AddressBar\ASBarBroker.exe' /pid=3596
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\pps.dll /perm /setowner=
  • '<SYSTEM32>\wbem\qdal.exe' /Noverbose /file=directoriesonly <SYSTEM32>\system.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\fuck.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\KbProtect.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\ieextend.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\appmgmts.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\kisl.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly <SYSTEM32>\func.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\Tmp.tmp /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly c:\Drver.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%update.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly c:\sam.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly c:\system.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly c:\autorun.inf /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %APPDATA%\d3.dll /perm /setowner=
  • '<SYSTEM32>\wbem\qdal.exe' /s
  • '<SYSTEM32>\wbem\ipend.exe' /s
  • '%PROGRAM_FILES%\Baidu\AddressBar\ASBarBroker.exe' -RegServer
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %APPDATA%\hd.dll /perm /setowner=
  • '%WINDIR%\qdal\ipseccmd.exe' -w reg -p Block -y
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %PROGRAM_FILES%\WinRAR\myrar.txt /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\linkinfo.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\SearchInfo.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\TempFile.sys /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %TEMP%\urlm0n.dll /perm /setowner=
  • '%WINDIR%\qdal\ipseccmd.exe' -w reg -p Block:1 -r filterlist -f *+0:135:tcp *+0:135:udp *+0:1443:tcp *+0:1443:udp *+0:1444:tcp *+0:1444:udp 222.173.188.2+0 219.150.86.3+0 219.129.239.165+0 121.10.107.166+0 218.3.53.188+0 211.115.112.76+0 122.102.6.88+0 218.75.28.49+0 218.9.66.140+0 218.93.16.81+0 61.178.85.82+0 61.175.215.10+0 59.34.216.229+0 60.190.203.140+0 58.51.62.182+0 60.190.223.117+0 60.190.222.150+0 59.34.216.247+0 121.10.105.32+0 59.34.197.65+0 59.53.88.156+0 61.191.55.216+0 222.216.28.52+0 60.190.203.86+0 59.60.149.86+0 121.11.159.142+0 66.186.34.250+0 122.224.6.70+0 210.51.17.23+0 58.211.75.10+0 122.224.5.5+0 60.191.187.15+0 60.191.129.162+0 210.51.45.5+0 218.75.14.101+0 121.10.104.153+0 66.186.34.180+0 122.224.11.214+0 222.73.247.201+0 222.73.254.67+0 61.191.56.70+0 208.53.152.222+0 60.190.203.29+0 121.10.104.195+0 60.28.197.82+0 222.191.251.203+0 58.215.240.84+0 121.10.112.144+0 59.63.41.15+0 218.61.35.65+0 122.224.5.11+0 221.130.181.141+0 221.237.177.199+0 121.10.108.169+0 121.10.108.171+0 121.10.108.172+0 121.10.108.223+0 121.10.108.224+0 60.191.208.235+0 221.194.137.204+0 121.10.113.53+0 121.10.108.160+0 121.14.141.11+0 61.157.217.151+0 60.190.118.247+0 121.10.107.94+0 121.10.107.86+0 59.34.197.249+0 125.91.10.40+0 222.215.230.144+0 218.16.224.73+0 59.34.148.196+0 61.129.47.6+0 61.164.145.22+0 219.232.237.173+0 59.151.32.58+0 60.173.12.76+0 66.186.63.243+0 66.186.63.242+0 208.109.171.185+0 60.191.129.150+0 208.111.144.29+0 67.228.214.206+0 121.10.112.163+0 121.10.105.92+0 121.10.115.171+0 204.177.92.68+0 58.22.101.235+0 58.22.101.145+0 58.22.101.233+0 121.10.113.94+0 66.228.126.31+0 121.10.108.22+0 221.130.192.207+0 60.190.223.25+0 222.141.52.106+0 60.190.218.116+0 202.108.23.205+0 60.190.218.21+0 121.14.154.195+0 218.30.82.201+0 121.14.154.216+0 121.14.154.184+0 219.152.120.237+0 202.109.175.78+0 125.67.67.201+0 222.168.102.12+0 121.10.112.196+0 121.10.104.202+0 98.126.32.138+0 121.10.112.197+0 61.157.217.49+0 121.10.105.68+0 121.10.112.170+0 220.181.5.22+0 59.34.197.96+0 222.216.28.100+0 121.10.104.148+0 218.5.78.216+0 59.34.198.105+0 174.133.228.6+0 174.133.228.7+0 174.133.228.248+0 218.189.234.236+0 60.190.223.200+0 121.10.105.48+0 61.152.75.38+0 59.34.198.114+0 125.76.251.77+0 61.147.117.10+0 222.216.28.174+0 222.216.28.254+0 61.164.108.101+0 219.232.243.4+0 121.12.173.218+0 67.213.213.91+0 67.213.213.90+0 67.213.213.88+0 189.10.197.107+0 59.34.197.37+0 59.34.197.53+0 59.34.198.109+0 60.173.11.50+0 61.128.162.210+0 61.164.109.16+0 121.10.112.139+0 121.15.245.17+0 219.153.43.42+0 222.189.237.204+0 75.125.227.117+0 216.40.239.110+0 72.11.142.155+0 194.54.83.46+0 67.159.61.144+0 67.159.61.69+0 67.159.62.52+0 60.173.11.79+0 61.153.17.14+0 60.161.34.251+0 222.73.45.37+0 222.73.86.99+0 121.14.156.55+0 222.188.91.241+0 211.144.132.116+0 59.44.49.62+0 61.139.126.236+0 59.34.198.131+0 121.10.112.152+0 121.12.106.103+0 121.12.107.168+0 122.224.48.61+0 218.95.101.242+0 218.95.101.246+0 91.211.64.40+0 59.34.198.43+0 59.34.198.12+0 67.213.222.209+0 193.27.246.55+0 69.64.63.224+0 193.27.246.89+0 77.221.153.174+0 80.241.232.199+0 78.109.17.230+0 67.215.241.202+0 193.27.246.50+0 121.14.142.71+0 74.63.93.18+0 74.63.93.26+0 74.63.93.43+0 92.62.101.108+0 208.98.13.130+0 92.62.101.112+0 212.117.164.225+0 117.23.205.227+0 121.12.104.108+0 96.9.142.101+0 58.253.68.49+0 59.34.216.106+0 121.12.169.212+0 91.207.61.32+0 61.174.68.24+0 60.173.12.44+0 61.157.217.187+0 59.34.198.92+0 78.46.88.142+0 174.36.51.195+0 61.137.191.68+0 193.111.244.157+0 67.213.222.215+0 121.12.108.87+0 121.14.152.19+0 121.12.169.88+0 218.83.161.120+0 222.186.31.67+0 216.95.196.22+0 121.14.142.221+0 59.34.197.90+0 125.64.40.244+0 67.198.199.66+0 121.12.170.238+0 58.215.79.176+0 125.67.67.152+0 114.111.164.9+0 121.12.125.191+0 61.164.109.27+0 222.186.25.35+0 210.83.85.101+0 195.88.80.150+0 121.12.116.66+0 121.12.116.4+0 98.126.15.178+0 121.12.116.80+0 121.12.116.82+0 121.12.116.93+0 121.12.116.95+0 121.12.116.48+0 121.12.169.219+0 61.155.140.83+0 61.155.140.85+0 121.12.169.133+0 121.12.169.134+0 121.12.169.3+0 121.12.116.16+0 121.12.116.47+0 121.12.123.16+0 67.159.55.251+0 216.40.239.106+0 222.215.119.43+0 205.209.159.222+0 69.4.236.205+0 174.139.24.219+0 61.164.108.99+0 121.10.115.176+0 121.10.115.214+0 121.10.115.215+0 121.10.115.216+0 121.10.115.217+0 61.147.120.54+0 59.40.183.60+0 222.186.23.226+0 174.37.157.240+0 174.37.157.233+0 174.37.157.29+0 208.98.6.67+0 117.41.164.21+0 61.147.120.58+0 66.186.63.155+0 193.43.88.137+0 121.12.115.11+0 61.147.120.6+0 125.211.195.11+0 121.12.110.36+0 60.173.10.59+0 58.211.114.9+0 85.114.131.69+0 74.52.164.210+0 98.126.42.75+0 67.159.55.96+0 212.95.32.104+0 59.34.197.133+0 121.10.108.42+0 122.224.4.133+0 222.173.194.37+0 67.159.2.214+0 209.11.242.178+0 97.74.54.158+0 117.41.161.81+0 59.58.177.189+0 69.93.3.115+0 121.12.104.185+0 125.211.197.75+0 121.10.108.12+0 121.10.108.4+0 121.12.109.238+0 208.109.192.47+0 159.226.7.162+0 121.12.105.47+0 60.173.10.53+0 202.109.126.51+0 76.76.133.252+0 61.129.51.10+0 59.34.197.73+0 174.139.247.122+0 59.34.216.31+0 60.173.10.4+0 216.155.154.4+0 219.148.34.9+0 83.212.16.22+0 67.159.28.147+0 76.73.26.211+0 125.65.165.189+0 61.143.154.30+0 121.14.151.182+0 59.34.197.148+0 121.12.119.163+0 61.145.62.67+0 125.211.197.79+0 220.170.79.52+0 121.14.152.105+0 122.224.9.120+0 60.173.12.54+0 60.173.10.26+0 121.12.117.71+0 122.224.6.55+0 59.34.197.153+0 190.34.136.178+0 121.10.107.168+0 121.10.112.227+0 121.10.108.44+0 121.10.108.102+0 74.125.153.101+0 121.10.108.34+0 60.173.10.37+0 60.173.10.8+0 60.173.10.20+0 219.139.81.6+0 121.10.112.241+0 61.232.154.43+0 59.34.216.58+0 60.190.222.200+0 120.10.112.28+0 76.73.79.162+0 174.139.14.59+0 61.191.61.36+0 76.73.32.68+0 125.65.165.132+0 66.232.146.104+0 59.34.197.152+0 121.10.112.28+0 61.191.61.10+0 61.191.61.14+0 76.73.79.170+0 121.14.154.67+0 121.14.145.141+0 125.87.2.33+0 76.73.32.98+0 113.105.157.130+0 124.130.139.237+0 121.12.123.10+0 58.218.198.124+0 174.139.250.60+0 67.43.158.98+0 97.74.200.226+0 59.34.198.55+0 113.105.157.14+0 113.105.157.151+0 59.34.197.166+0 121.10.107.31+0 121.10.105.118+0 60.191.124.236+0 121.10.105.118+0 60.191.124.236+0 67.228.169.126+0 59.34.198.8+0 59.34.198.31+0 59.34.198.10+0 59.34.197.76+0 59.34.197.113+0 125.65.112.131+0 121.12.109.63+0 64.235.53.208+0 -n BLOCK
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\stin.bat /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\phpq.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\phpi.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\aboy.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\Dll.dll /perm /setowner=
  • '<SYSTEM32>\qdal.dll' /Noverbose /file=directoriesonly %WINDIR%\winyyy.sys /perm /setowner=
Запускает на исполнение:
  • '<SYSTEM32>\cacls.exe' <SYSTEM32>\cursors /c /p Everyone:r
  • '<SYSTEM32>\cacls.exe' <SYSTEM32>\cursors /d everyone
  • '<SYSTEM32>\cacls.exe' %PROGRAM_FILES%\windows NT\system /d everyone
  • '<SYSTEM32>\alg.exe' /pid=1212
  • '<SYSTEM32>\cacls.exe' %PROGRAM_FILES%\windows NT\system /c /p Everyone:r
  • '<SYSTEM32>\sc.exe' config PolicyAgent start= auto
  • '<SYSTEM32>\cacls.exe' %CommonProgramFiles%\Microsoft /d everyone
  • '<SYSTEM32>\cacls.exe' %CommonProgramFiles%\Microsoft /c /p Everyone:r
  • '<SYSTEM32>\cacls.exe' c:\MyRARwork /c /p Everyone:r
  • '<SYSTEM32>\cacls.exe' c:\MyRARwork /d everyone
  • '<SYSTEM32>\cacls.exe' /Noverbose /file=directoriesonly <SYSTEM32>\nspass0.sys /perm /setowner=
  • '<SYSTEM32>\cacls.exe' /pid=3444
  • '<SYSTEM32>\cacls.exe' /pid=3548
  • '<SYSTEM32>\cacls.exe' /Noverbose /file=directoriesonly <SYSTEM32>\killdll.dll /perm /setowner=
  • '<SYSTEM32>\cacls.exe' /Noverbose /file=directoriesonly <SYSTEM32>\nspass4.sys /perm /setowner=
  • '<SYSTEM32>\regsvr32.exe' /pid=3784
  • '<SYSTEM32>\regsvr32.exe' /Noverbose /file=directoriesonly %WINDIR%\temp\npptools.dll /perm /setowner=
  • '<SYSTEM32>\regsvr32.exe' /Noverbose /file=directoriesonly %WINDIR%\npptools.dll /perm /setowner=
  • '<SYSTEM32>\cacls.exe' /Noverbose /file=directoriesonly <SYSTEM32>\LocaSync.dll /perm /setowner=
  • '<SYSTEM32>\regsvr32.exe' /pid=2928
  • '<SYSTEM32>\find.exe' /i "PolicyAgent"
  • '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\HintHelperex.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\HintBrowser.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\bbns.dll"
  • '<SYSTEM32>\cacls.exe' "%PROGRAM_FILES%\Baidu\AddressBar" /g Everyone:F
  • '<SYSTEM32>\cacls.exe' "%PROGRAM_FILES%\Baidu\AddressBar\AddressBar_Tmp" /g Everyone:F
  • '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\HC\hCard\ad_footer.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\HC\hCard\ad.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\HC\hCard\adRand.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\HC\hCard\IEPlus.dll"
  • '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\HC\hCard\hunk.dll"
  • '<SYSTEM32>\wscript.exe' "%WINDIR%\qdal\ipend.vbs"
  • '<SYSTEM32>\cacls.exe' %WINDIR%\amd /d everyone
  • '<SYSTEM32>\cacls.exe' %WINDIR%\amd /c /p Everyone:r
  • '<SYSTEM32>\sc.exe' query PolicyAgent
  • '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\qdal\ipend.bat" "
  • '%WINDIR%\regedit.exe' /s %TEMP%\qdal.reg
  • '<SYSTEM32>\cacls.exe' "%PROGRAM_FILES%\Baidu" /g Everyone:F
  • '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\Start Menu\Programs\Internet Explorer.lnk /d everyone
  • '<SYSTEM32>\cacls.exe' %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk /d everyone
  • '<SYSTEM32>\cacls.exe' %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk /d everyone
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\cmd.exe
  • <SYSTEM32>\cacls.exe
  • <SYSTEM32>\regsvr32.exe
Завершает или пытается завершить
следующие системные процессы:
  • <SYSTEM32>\alg.exe
следующие пользовательские процессы:
  • ntvdm.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
  • %TEMP%\aut11.tmp
  • %TEMP%\aut10.tmp
  • %ALLUSERSPROFILE%\Start Menu\Programs\Internet Explorer.lnk
  • %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
  • %TEMP%\aut12.tmp
  • %TEMP%\autC.tmp
  • <SYSTEM32>\wbem\bd.ico
  • %TEMP%\autD.tmp
  • %TEMP%\autF.tmp
  • %TEMP%\autE.tmp
  • %TEMP%\aut13.tmp
  • %PROGRAM_FILES%\Baidu\AddressBar\AddressBar.dll
  • %WINDIR%\qdal\ipend.vbs
  • %PROGRAM_FILES%\Baidu\AddressBar\ASBarBroker.exe
  • %ALLUSERSPROFILE%\Start Menu\Programs\百度地址栏\卸载百度地址栏.lnk
  • %ALLUSERSPROFILE%\Start Menu\Programs\百度地址栏\百度地址栏官网.url
  • %WINDIR%\qdal\ipend.bat
  • %WINDIR%\qdal\iplist.txt
  • %WINDIR%\qdal\ipseccmd.exe
  • %WINDIR%\qdal\winipsec.dll
  • %PROGRAM_FILES%\Baidu\AddressBar\AddressBar_Tmp\AddressBar.dll
  • %TEMP%\aut4.tmp
  • %TEMP%\qdal.reg
  • <SYSTEM32>\wbem\qdal.exe
  • <SYSTEM32>\Setup.dat
  • %TEMP%\aut5.tmp
  • %TEMP%\Ot
  • %TEMP%\aut1.tmp
  • %TEMP%\aut2.tmp
  • %TEMP%\aut3.tmp
  • <SYSTEM32>\qdal.dll
  • %TEMP%\aut6.tmp
  • <SYSTEM32>\wbem\mv.ico
  • %TEMP%\aut9.tmp
  • %TEMP%\autA.tmp
  • %TEMP%\autB.tmp
  • <SYSTEM32>\wbem\shop.ico
  • %TEMP%\aut7.tmp
  • <SYSTEM32>\Setup.ini
  • <SYSTEM32>\wbem\ipend.exe
  • <SYSTEM32>\ie.ico
  • %TEMP%\aut8.tmp
Удаляет следующие файлы:
  • %TEMP%\autD.tmp
  • %TEMP%\autE.tmp
  • %TEMP%\autC.tmp
  • %TEMP%\autA.tmp
  • %TEMP%\autB.tmp
  • %TEMP%\aut12.tmp
  • %TEMP%\aut13.tmp
  • %TEMP%\aut11.tmp
  • %TEMP%\autF.tmp
  • %TEMP%\aut10.tmp
  • %TEMP%\aut9.tmp
  • %TEMP%\aut3.tmp
  • %TEMP%\aut4.tmp
  • %TEMP%\aut2.tmp
  • %TEMP%\aut1.tmp
  • %TEMP%\Ot
  • %TEMP%\aut7.tmp
  • %TEMP%\aut8.tmp
  • %TEMP%\aut6.tmp
  • %TEMP%\qdal.reg
  • %TEMP%\aut5.tmp
Другое:
Ищет следующие окна:
  • ClassName: 'Shell_TrayWnd' WindowName: '(null)'
  • ClassName: 'EDIT' WindowName: '(null)'
  • ClassName: 'RegEdit_RegEdit' WindowName: '(null)'

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке