BackDoor.IRC.Mishko.59

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'XML' = '<SYSTEM32>\xmlite.exe'

Malicious functions:

Executes the following:

'<SYSTEM32>\xmlite.exe'

Modifies file system:

Creates the following files:

%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\c6ENwzz8Jf6A39drGTEyEfu2M.fA26w0PIgcPx8XW3M1yFfeHLOAoDbp9aTe8z[1].XI4PZXTRwAA
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\BymBgS0DkuyGLiln7nxb8RsnZIf.ZgdQvwqPbZJfCZwsArnTrMpqzEigIfSQFgAGjMaLUvUVxoBNeckO4f0.[1].ho2wAA
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\vx0JL9Q1JXlS43YqRJEVGvM3IgnDATwAA[1]
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\5vD7jRS84bAymNjCqG8nVNeJrqMB1AFCsejPNnFObe8wAA[1]
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xtwvolvynKVzMVnHuKCBPg58wAA[1]
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\pcoZF.5ZSQE.OIxTR6nCAUtaL4h99u91ClmkzEx9eOgZ0aLuSeNjiQnfW5fGbBZRJB0L[1].lGC_CnDZzvnQAA
<SYSTEM32>\xmlite.exe
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\Qa4f4tFvqnMaT1DhVxN3qyFjm6lsiPc1fvoaeHgAA[1]
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\baHXuKIEhc2IDAeMQvljI_ael6Uxm6pnhhuIqUKWb70eZRnhVXNtK8KUVgyQ9[1].SLG9eIjIx5fj8VQ1mWonBpzUlMHLVAAA

Network activity:

Connects to:

'19#.#4.114.219':80

TCP:

HTTP GET requests:

http://19#.#4.114.219/d_v086gfdMxikQOy.czFpmBQSMoV1z/c6ENwzz8Jf6A39drGTEyEfu2M.fA26w0PIgcPx8XW3M1yFfeHLOAoDbp9aTe8z.XI4PZXTRwAA
http://19#.#4.114.219/MXpiPXvF1bmu3/BymBgS0DkuyGLiln7nxb8RsnZIf.ZgdQvwqPbZJfCZwsArnTrMpqzEigIfSQFgAGjMaLUvUVxoBNeckO4f0..ho2wAA
http://19#.#4.114.219/l8ZCcwrTcX3yWz5B3Ig_v8eegvkmz9D83TtNoPmNzFo3lfDr8R4bmANVv1NTFnGLIoE2Nfr/vx0JL9Q1JXlS43YqRJEVGvM3IgnDATwAA
http://19#.#4.114.219/yn5GVeUQyHftmWMJhz.UC6JA7Yonjcq3x3F0BDwDObNqQ0SyuW4f3IlkHl/5vD7jRS84bAymNjCqG8nVNeJrqMB1AFCsejPNnFObe8wAA
http://19#.#4.114.219/.SDVueYS43/baHXuKIEhc2IDAeMQvljI_ael6Uxm6pnhhuIqUKWb70eZRnhVXNtK8KUVgyQ9.SLG9eIjIx5fj8VQ1mWonBpzUlMHLVAAA
http://19#.#4.114.219/7x1O.ReC2r47cWiXk05IH/pcoZF.5ZSQE.OIxTR6nCAUtaL4h99u91ClmkzEx9eOgZ0aLuSeNjiQnfW5fGbBZRJB0L.lGC_CnDZzvnQAA
http://19#.#4.114.219/gCnHuWWZZMXJsA2u6jh1Ez.Dub5oc81t7QgfuTU3vJS53funrj6A1NK7FHaSrERdYI4q8nRg0r.aF/xtwvolvynKVzMVnHuKCBPg58wAA
http://19#.#4.114.219/B1VvrARII8N9NmTMBVGMb5dbi37zHpimsAWW4xbq1yUynq47pRUt.8FIqQA5tds/Qa4f4tFvqnMaT1DhVxN3qyFjm6lsiPc1fvoaeHgAA

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android