Trojan.DownLoader26.40933

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '<SYSTEM32>\TWCSaver.scr'

Substitutes the following executable system files:

<SYSTEM32>\mfc71.dll with <SYSTEM32>\temp.000
<SYSTEM32>\msvcp71.dll with <SYSTEM32>\temp.000
<SYSTEM32>\msvcr71.dll with <SYSTEM32>\temp.000

Modifies file system:

Creates the following files:

%TEMP%\GLC1.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\Uninstall.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\FAQ.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\Preferences.lnk
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000a.TMP
<SYSTEM32>\~GLH0009.TMP
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0008.TMP
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0007.TMP
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0006.TMP
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0005.TMP
C:\~GLHTTP1.TMP
<LS_APPDATA>\The Weather Channel\Screensaver\config.ini
%TEMP%\Twc9.tmp
<SYSTEM32>\~GLH0004.TMP
<SYSTEM32>\~GLH0003.TMP
<SYSTEM32>\temp.000
<SYSTEM32>\~GLH0002.TMP
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0001.TMP
%TEMP%\~GLH0000.TMP
%TEMP%\GLG7.tmp
%TEMP%\GLW5.tmp
%TEMP%\GLM4.tmp
%TEMP%\GLK3.tmp
%TEMP%\GLJ2.tmp
%ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000b.TMP
<LS_APPDATA>\The Weather Channel\Desktop\~GLH000c.TMP

Deletes the following files:

%TEMP%\GLW5.tmp
<SYSTEM32>\mfc71.dll
<SYSTEM32>\~GLH0002.TMP
<SYSTEM32>\msvcp71.dll
<SYSTEM32>\~GLH0003.TMP
<SYSTEM32>\msvcr71.dll
<SYSTEM32>\~GLH0004.TMP
%TEMP%\Twc9.tmp
C:\~GLHTTP1.TMP

Moves the following files:

from %TEMP%\~GLH0000.TMP to %TEMP%\GLF8.tmp
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0001.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\TwcToolInstDll.dll
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0005.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\UNWISE.EXE
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0006.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\wxfw.dll
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0007.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\setuplnchr.exe
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0008.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\sum2008.wxs
from <SYSTEM32>\~GLH0009.TMP to <SYSTEM32>\TWCSaver.scr
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000a.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\configit.bat
from %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000b.TMP to %ProgramFiles%\The Weather Channel FW\Screensaver\Setup.dll
from <LS_APPDATA>\The Weather Channel\Desktop\~GLH000c.TMP to <LS_APPDATA>\The Weather Channel\Desktop\flow.xml

Substitutes the following files:

<SYSTEM32>\temp.000

Network activity:

Connects to:

'au##.#eather.com':80
'x.##wx.com':80
'do#####d.weather.com':80
'de#####fw.weather.com':80

TCP:

HTTP GET requests:

http://au##.#eather.com/ursa/xml/desktop/installId?pr#####
http://x.##wx.com/15/0?id###
http://do#####d.weather.com/web/dwzeus/dw6/install/setupv1/Setup.dll
http://de#####fw.weather.com/services/dwzeus/dw6/setupv1/flow.txt

UDP:

DNS ASK au##.#eather.com
DNS ASK x.##wx.com
DNS ASK do#####d.weather.com
DNS ASK de#####fw.weather.com

Miscellaneous:

Creates and executes the following:

'%TEMP%\GLJ2.tmp' <SYSTEM32>\mfc71.dll
'%TEMP%\GLJ2.tmp' <SYSTEM32>\msvcp71.dll
'%TEMP%\GLJ2.tmp' <SYSTEM32>\msvcr71.dll

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android