Trojan.Fakealert.12653.origin

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '617252297' = '%LOCALAPPDATA%\wda.exe'
[HKCU\Software\Classes\.exe] '' = 'exefile'
[HKCU\Software\Classes\.exe] 'Content Type' = 'application/x-msdownload'
[HKCU\Software\Classes\.exe\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%1" %*'
[HKCU\Software\Classes\exefile\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%1" %*'
[HKLM\SOFTWARE\Wow6432Node\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%ProgramFiles(x86)%\Internet Explorer\iexplore.exe"'

Malicious functions

To complicate detection of its presence in the operating system,

blocks execution of the following system utilities:

Windows Security Center
Windows Defender

blocks the following features:

Windows Action Center

Terminates or attempts to terminate

the following system processes:

%WINDIR%\explorer.exe

the following user processes:

iexplore.exe
firefox.exe

Modifies file system

Creates the following files

%TEMP%\niecc91.tmp
%LOCALAPPDATA%\wda.exe
%TEMP%\niee704.tmp
%LOCALAPPDATA%\ks516534dwo7uw60o36gux02syeyqw3h0
%ALLUSERSPROFILE%\ks516534dwo7uw60o36gux02syeyqw3h0
%TEMP%\ks516534dwo7uw60o36gux02syeyqw3h0
%APPDATA%\microsoft\windows\templates\ks516534dwo7uw60o36gux02syeyqw3h0

Deletes the following files

%TEMP%\niecc91.tmp
%TEMP%\niee704.tmp

Deletes itself.

Network activity

Connects to

'microsoft.com':80

UDP

DNS ASK ku###idewar.com
DNS ASK za####dixahok.com
DNS ASK ma####noralibu.com
DNS ASK pu####pageta.com
DNS ASK pi####caciqil.com
DNS ASK hi###umala.com
DNS ASK xy####talomu.com
DNS ASK lo###ejav.com
DNS ASK dy####gymasasu.com
DNS ASK qa###alomo.com
DNS ASK se####wytuzek.com
DNS ASK qa####pojewiv.com
DNS ASK zo###ymiz.com
DNS ASK vo####dacyfyki.com
DNS ASK so###urepu.com
DNS ASK xe####kawuhady.com
DNS ASK wu###omovom.com
DNS ASK so###yzev.com
DNS ASK vu####hevixaf.com
DNS ASK nu####jilamipu.com
DNS ASK zy####dojusoko.com
DNS ASK ne###ezyjih.com
DNS ASK lo####hosywaw.com
DNS ASK na####hohuly.com
DNS ASK ny####wafyfa.com
DNS ASK wu###osux.com
DNS ASK pe###ukos.com
DNS ASK xy####nihyfo.com
DNS ASK xy###yquk.com
DNS ASK zy####movyxy.com
DNS ASK di####jubeka.com
DNS ASK le####bunosu.com
DNS ASK va###uzozuq.com
DNS ASK to####lymavi.com
DNS ASK microsoft.com
DNS ASK ry###amogo.com
DNS ASK to###uwace.com
DNS ASK xa###iwehiw.com
DNS ASK xe####wunikyle.com
DNS ASK zo####kimewut.com
DNS ASK co###irebu.com
DNS ASK hy###ucugi.com
DNS ASK ly####fotoqy.com
DNS ASK ro###ymici.com

Miscellaneous

Searches for the following windows

ClassName: 'Progman' WindowName: ''
ClassName: 'Proxy Desktop' WindowName: ''
ClassName: 'msascui_class' WindowName: ''
ClassName: 'SystemTray_Main' WindowName: ''
ClassName: 'Media Center Tray Applet' WindowName: ''
ClassName: '' WindowName: 'View Available Networks'
ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''

Creates and executes the following

'%LOCALAPPDATA%\wda.exe' -gav <Full path to file>

Executes the following

'%WINDIR%\explorer.exe'

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android