Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поиск
Поиск

Поиск

Поддержка
Круглосуточная поддержка | Правила обращения

Напишите

Запрос через форму

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -
Создать новый запрос Частые вопросы

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

KZ

RU CN DE EN ES FR IT JP KZ UZ PL BY
Закрыть
Сервисы
Сканеры
Dr.Web vxCube
Демо
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.Siggen26.19129

Добавлен в вирусную базу Dr.Web: 2024-02-18

Описание добавлено:

Technical Information

To ensure autorun and distribution
Modifies the following registry keys
  • [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RageMP131' = '%LOCALAPPDATA%\RageMP131\RageMP131.exe'
  • [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeUpdaterV131' = '%LOCALAPPDATA%\AdobeUpdaterV131\AdobeUpdaterV131.exe'
Creates or modifies the following files
  • <SYSTEM32>\tasks\mpgph131 hr
  • <SYSTEM32>\tasks\mpgph131 lg
  • <SYSTEM32>\tasks\msiupdaterv131 hr
  • <SYSTEM32>\tasks\msiupdaterv131 lg
  • %APPDATA%\microsoft\windows\start menu\programs\startup\edgems131.lnk
  • %WINDIR%\tasks\explorgu.job
Malicious functions
Reads files which store third party applications passwords
  • %APPDATA%\mozilla\firefox\profiles.ini
  • %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\signons.sqlite
  • %APPDATA%\mozilla\firefox\profiles\bcjnbgva.default\signons.sqlite
  • %LOCALAPPDATA%\google\chrome\user data\default\login data
  • %LOCALAPPDATA%\google\chrome\user data\default\web data
  • %LOCALAPPDATA%\google\chrome\user data\default\cookies
  • %APPDATA%\mozilla\firefox\profiles\0j9e9tku.default-release\signons.sqlite
  • %APPDATA%\thunderbird\profiles.ini
  • %APPDATA%\thunderbird\profiles\49zr3fqa.default\signons.sqlite
  • %APPDATA%\thunderbird\profiles\npsdfqy3.default-release\signons.sqlite
Searches for windows to
detect analytical utilities:
  • ClassName: 'OLLYDBG', WindowName: ''
  • ClassName: 'GBDYLLO', WindowName: ''
  • ClassName: 'pediy06', WindowName: ''
  • ClassName: 'FilemonClass', WindowName: ''
  • ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
  • ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
  • ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
  • ClassName: 'RegmonClass', WindowName: ''
  • ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Modifies file system
Creates the following files
  • %LOCALAPPDATA%\ragemp131\ragemp131.exe
  • %TEMP%\joba67pidsrn1wnvic\jx0oqi4nztiqplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\suorww4zcubjformhistory.sqlite
  • %TEMP%\joba67pidsrn1wnvic\l6w3nvxsgpmdplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\2jqjv37ij0lzcookies.sqlite
  • %TEMP%\joba67pidsrn1wnvic\pse1jchbit9aplaces.sqlite
  • %TEMP%\joba57pidsrn1wnvic\passwords.txt
  • %TEMP%\joba57pidsrn1wnvic\information.txt
  • %TEMP%\joba67pidsrn1wnvic\0l0wxjvnbgu8lxujenwd.exe
  • %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_d4602615-9d50-4880-be41-678935e93eaa
  • %TEMP%\joba67pidsrn1wnvic\ktirrltefqulanoileno.exe
  • %LOCALAPPDATA%\adobeupdaterv131\adobeupdaterv131.exe
  • %ALLUSERSPROFILE%\msiupdaterv131\msiupdaterv131.exe
  • %TEMP%\edgems131\edgems131.exe
  • %TEMP%\joba67pidsrn1wnvic\mzdhui6cx8chmuqnmldl.exe
  • %TEMP%\joba67pidsrn1wnvic\v41xok1kzonehxo80gj4.exe
  • %TEMP%\joba67pidsrn1wnvic\_vhacgkhh0mq4sufocib.exe
  • %TEMP%\joba67pidsrn1wnvic\kvhrxj77cmugplaces.sqlite
  • %TEMP%\p1z7qz3q8dijn7gxc9drsbdgxll0kq9y.zip
  • %TEMP%\joba67pidsrn1wnvic\qdx9itdlycrbcookies.sqlite
  • %TEMP%\joba67pidsrn1wnvic\iwpfiaxutjtshistory
  • %ALLUSERSPROFILE%\mpgph131\mpgph131.exe
  • %TEMP%\rage131mp.tmp
  • %TEMP%\joba67pidsrn1wnvic\ei8dramayu9klogin data
  • %TEMP%\joba67pidsrn1wnvic\d87fzn3r3jfeweb data
  • %TEMP%\joba67pidsrn1wnvic\02zdbxl47cvzhistory
  • %TEMP%\joba67pidsrn1wnvic\3b6n2xdh3cywweb data
  • %TEMP%\joba67pidsrn1wnvic\5lop_s5wm5ercookies
  • %TEMP%\joba67pidsrn1wnvic\qdx9itdlycrbweb data
  • %TEMP%\joba67pidsrn1wnvic\oopemfmu_xsjplaces.sqlite
  • %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
  • %TEMP%\joba67pidsrn1wnvic\02zdbxl47cvzformhistory.sqlite
  • %TEMP%\joba67pidsrn1wnvic\3b6n2xdh3cywformhistory.sqlite
  • %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
  • %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
  • %TEMP%\joba67pidsrn1wnvic\5lop_s5wm5erplaces.sqlite
  • %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
  • %TEMP%\joba67pidsrn1wnvic\iwpfiaxutjtscookies.sqlite
  • %TEMP%\00c07260dc\explorgu.exe
Deletes the following files
  • %TEMP%\joba67pidsrn1wnvic\ei8dramayu9klogin data
  • %TEMP%\joba67pidsrn1wnvic\2jqjv37ij0lzcookies.sqlite
  • %TEMP%\joba67pidsrn1wnvic\l6w3nvxsgpmdplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\suorww4zcubjformhistory.sqlite
  • %TEMP%\joba67pidsrn1wnvic\jx0oqi4nztiqplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\kvhrxj77cmugplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\qdx9itdlycrbcookies.sqlite
  • %TEMP%\joba67pidsrn1wnvic\iwpfiaxutjtscookies.sqlite
  • %TEMP%\joba67pidsrn1wnvic\oopemfmu_xsjplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\5lop_s5wm5erplaces.sqlite
  • %TEMP%\joba67pidsrn1wnvic\3b6n2xdh3cywformhistory.sqlite
  • %TEMP%\joba67pidsrn1wnvic\02zdbxl47cvzformhistory.sqlite
  • %TEMP%\joba67pidsrn1wnvic\qdx9itdlycrbweb data
  • %TEMP%\joba67pidsrn1wnvic\iwpfiaxutjtshistory
  • %TEMP%\joba67pidsrn1wnvic\5lop_s5wm5ercookies
  • %TEMP%\joba67pidsrn1wnvic\3b6n2xdh3cywweb data
  • %TEMP%\joba67pidsrn1wnvic\02zdbxl47cvzhistory
  • %TEMP%\joba67pidsrn1wnvic\d87fzn3r3jfeweb data
  • %TEMP%\joba67pidsrn1wnvic\pse1jchbit9aplaces.sqlite
  • %TEMP%\p1z7qz3q8dijn7gxc9drsbdgxll0kq9y.zip
Network activity
Connects to
  • '19#.#33.132.62':50500
  • 'ip##fo.io':443
  • 'db##p.com':443
  • 'ma##ind.com':80
  • '18#.#15.113.46':80
TCP
HTTP GET requests
  • http://www.ma##ind.com/geoip/v2.1/city/me
  • http://18#.#15.113.46/cost/fu.exe
  • http://18#.#15.113.46/mine/amert.exe
  • http://18#.#15.113.46/cost/niks.exe
  • http://18#.#15.113.46/mine/plaza.exe
  • http://18#.#15.113.46/cost/ladas.exe
Other
  • '19#.#33.132.62':50500
  • 'ip##fo.io':443
  • 'db##p.com':443
UDP
  • DNS ASK ip##fo.io
  • DNS ASK db##p.com
  • DNS ASK ma##ind.com
Miscellaneous
Searches for the following windows
  • ClassName: '18467-41' WindowName: ''
  • ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'
Creates and executes the following
  • '%TEMP%\joba67pidsrn1wnvic\0l0wxjvnbgu8lxujenwd.exe'
  • '%TEMP%\joba67pidsrn1wnvic\ktirrltefqulanoileno.exe'
  • '%TEMP%\joba67pidsrn1wnvic\mzdhui6cx8chmuqnmldl.exe'
  • '%TEMP%\joba67pidsrn1wnvic\v41xok1kzonehxo80gj4.exe'
  • '%TEMP%\joba67pidsrn1wnvic\_vhacgkhh0mq4sufocib.exe'
Executes the following
  • '%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MPGPH131\MPGPH131.exe" /tn "MPGPH131 HR" /sc HOURLY /rl HIGHEST
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="3312.0.1195031890\1653127150" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gp...
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.4.1850454034\691877824" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.5.1127857602\1832664192" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.6.985989573\1167241686" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.7.2138521295\534151438" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.19.1640346530\1721609904" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.8.2091243108\1705456937" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.9.2014337029\637340029" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.10.494670457\1872399267" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.11.2097884035\833096660" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.12.1305496309\770847322" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.18.1093218768\1410106155" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2488.0.1011958347\671456331" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="3312.4.1850454034\691877824" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=3504
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2472.0.1770612257\367862634" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
  • '%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV131\MSIUpdaterV131.exe" /tn "MSIUpdaterV131 LG" /sc ONLOGON /rl HIGHEST
  • '%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MPGPH131\MPGPH131.exe" /tn "MPGPH131 LG" /sc ONLOGON /rl HIGHEST
  • '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.youtube.com/"
  • '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.linkedin.com/login"
  • '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.facebook.com/video"
  • '%WINDIR%\syswow64\schtasks.exe' /create /f /RU "user" /tr "%ALLUSERSPROFILE%\MSIUpdaterV131\MSIUpdaterV131.exe" /tn "MSIUpdaterV131 HR" /sc HOURLY /rl HIGHEST
  • '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://accounts.google.com/"
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.linkedin.com/login
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.linkedin.com/login /crash-reporter-parent-id=2488
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.facebook.com/video
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://accounts.google.com/
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://accounts.google.com/ /crash-reporter-parent-id=2496
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=3312
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.facebook.com/video /crash-reporter-parent-id=2472
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2496.0.2022319601\281886624" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
  • '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="3312.20.1644770602\250407067" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play