Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поиск
Поиск

Поиск

Поддержка
Круглосуточная поддержка | Правила обращения

Напишите

Запрос через форму

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -
Создать новый запрос Частые вопросы

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

KZ

RU CN EN ES FR IT JP KZ UZ BY ID
Закрыть
Сервисы
Сканеры
Dr.Web vxCube
Демо
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.Siggen32.60824

Добавлен в вирусную базу Dr.Web: 2026-06-26

Описание добавлено:

Technical Information

To ensure autorun and distribution
Modifies the following registry keys
  • [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
  • [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
  • [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
Sets the following service settings
  • [HKLM\SYSTEM\CurrentControlSet\Services\wlg_Minispy] 'ImagePath' = 'system32\DRIVERS\wlg_minispy.sys'
  • [HKLM\SYSTEM\CurrentControlSet\Services\WLG_RCTRL_SERVER] 'ImagePath' = '"%ProgramFiles(x86)%\ClientWlg\rctrl_server.exe" -service'
  • [HKLM\SYSTEM\CurrentControlSet\Services\IMHKDrv] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\IMHKDrv64.sys'
  • [HKLM\SYSTEM\CurrentControlSet\services\IMHKDrv] 'Start' = '00000002'
  • [HKLM\SYSTEM\CurrentControlSet\Services\MsStartx] 'Start' = '00000002'
  • [HKLM\SYSTEM\CurrentControlSet\Services\MsStartx] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\driver\msstartx64.sys'
  • [HKLM\SYSTEM\CurrentControlSet\Services\WLG Network Service] 'Start' = '00000002'
  • [HKLM\SYSTEM\CurrentControlSet\Services\WLG Network Service] 'ImagePath' = '%WINDIR%\wlg_client_svc.exe'
  • [HKLM\SYSTEM\CurrentControlSet\Services\WLGNetLimiter] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\driver\netflt64.sys'
  • [HKLM\SYSTEM\CurrentControlSet\Services\WPRO_41_1742] 'ImagePath' = 'system32\drivers\WPRO_41_1742.sys'
Creates the following services
  • 'wlg_Minispy' system32\DRIVERS\wlg_minispy.sys
  • 'WLG_RCTRL_SERVER' %ProgramFiles(x86)%\ClientWlg ctrl_server.exe" -servic
  • 'IMHKDrv' %ProgramFiles(x86)%\ClientWlg\IMHKDrv64.sys
  • 'MsStartx' %ProgramFiles(x86)%\ClientWlg\driver\msstartx64.sys
  • 'WLG Network Service' %WINDIR%\wlg_client_svc.exe
  • 'WLGNetLimiter' %ProgramFiles(x86)%\ClientWlg\driver\netflt64.sys
  • 'WPRO_41_1742' system32\drivers\WPRO_41_1742.sys
Malicious functions
To complicate detection of its presence in the operating system,
blocks the following features:
  • User Account Control (UAC)
Registers file system filter
  • [HKLM\SYSTEM\CurrentControlSet\Services\wlg_Minispy] 'Group' = 'FSFilter Activity Monitor'
Modifies file system
Creates the following files
  • %ProgramFiles(x86)%\setup.tmp.tmp
  • %CommonProgramFiles(x86)%\system\clientwlg\contact.ini
  • %ProgramFiles(x86)%\clientwlg\tmp-929453.z
  • %TEMP%\933796.uz
  • %ProgramFiles(x86)%\clientwlg\antip.exe
  • %ProgramFiles(x86)%\clientwlg\arptable.exe
  • %ProgramFiles(x86)%\clientwlg\crashrpt.dll
  • %ProgramFiles(x86)%\clientwlg\dev_32.exe
  • %ProgramFiles(x86)%\clientwlg\dev_64.exe
  • %ProgramFiles(x86)%\clientwlg\driver\msstartx32.sys
  • %ProgramFiles(x86)%\clientwlg\driver\msstartx64.sys
  • %ProgramFiles(x86)%\clientwlg\driver\netflt32.sys
  • %ProgramFiles(x86)%\clientwlg\driver\netflt64.sys
  • %ProgramFiles(x86)%\clientwlg\driver\wlgdrv_hook.sys
  • %ProgramFiles(x86)%\clientwlg\exeproxy.exe
  • %ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.inf
  • %ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.sys
  • %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.cat
  • %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.inf
  • %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.sys
  • %ProgramFiles(x86)%\clientwlg\finclean.exe
  • %ProgramFiles(x86)%\clientwlg\gdiplus.dll
  • %ProgramFiles(x86)%\clientwlg\getpcinfo.exe
  • %ProgramFiles(x86)%\clientwlg\gettempdll.dll
  • %ProgramFiles(x86)%\clientwlg\killmmc.exe
  • %ProgramFiles(x86)%\clientwlg\msg.exe
  • %ProgramFiles(x86)%\clientwlg\msstartx32.dll
  • %ProgramFiles(x86)%\clientwlg\msstartx64.dll
  • %ProgramFiles(x86)%\clientwlg\packet.dll
  • %ProgramFiles(x86)%\clientwlg\pcidx.dll
  • %ProgramFiles(x86)%\clientwlg\pic.dll
  • %ProgramFiles(x86)%\clientwlg\rctrl_server.exe
  • %ProgramFiles(x86)%\clientwlg\screenhooks32.dll
  • %ProgramFiles(x86)%\clientwlg\secchecking.exe
  • %ProgramFiles(x86)%\clientwlg\senddata.exe
  • %ProgramFiles(x86)%\clientwlg\tmpdll.dat
  • %ProgramFiles(x86)%\clientwlg\valuation.exe
  • %ProgramFiles(x86)%\clientwlg\winipcfg.exe
  • %ProgramFiles(x86)%\clientwlg\wlgcap.exe
  • %ProgramFiles(x86)%\clientwlg\wlgdev.exe
  • %ProgramFiles(x86)%\clientwlg\wlgprocess.dll
  • %ProgramFiles(x86)%\clientwlg\wlgx.dll
  • %ProgramFiles(x86)%\clientwlg\wlg_contact.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_keep.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_pj.exe
  • %ProgramFiles(x86)%\clientwlg\wlg_rcap.exe
  • %ProgramFiles(x86)%\clientwlg\zlib.dll
  • %ProgramFiles(x86)%\clientwlg\prrocess.dat
  • %ProgramFiles(x86)%\clientwlg\spy9.map
  • %ProgramFiles(x86)%\clientwlg\history_data\skype_data.ini
  • %WINDIR%\syswow64\drivers\set5ed5.tmp
  • %ProgramFiles(x86)%\clientwlg\imhkcore.dll
  • %ProgramFiles(x86)%\clientwlg\imhkdrvsdk.dll
  • %ProgramFiles(x86)%\clientwlg\imhksdk.dll
  • %ProgramFiles(x86)%\clientwlg\imhkdrv64.sys
  • %ProgramFiles(x86)%\clientwlg\imhkdrv86.sys
  • %ProgramFiles(x86)%\clientwlg\caplog\history.map
  • %ProgramFiles(x86)%\clientwlg\contact.ini
  • <SYSTEM32>\msstartx.dll
  • <SYSTEM32>\secchecking.exe
  • %WINDIR%\wlg_client_svc.exe
  • %ProgramFiles(x86)%\clientwlg\tmp\hideprocess32.dll
  • %ProgramFiles(x86)%\clientwlg\tmp\hideprocess64.dll
  • %ProgramFiles(x86)%\clientwlg\tmp\xmail32.dll
  • %ProgramFiles(x86)%\clientwlg\tmp\xmail64.dll
  • %ProgramFiles(x86)%\clientwlg\tmp\msappcall32.dll
  • %ProgramFiles(x86)%\clientwlg\process.map
  • <DRIVERS>\wlgnetflt.sys
  • <DRIVERS>\wlg_minispy.sys
  • %WINDIR%\syswow64\wpro_41_1742woem.tmp
  • <DRIVERS>\wpro_41_1742.sys
  • %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
  • %ProgramFiles(x86)%\clientwlg\title.map
  • global\wpro_41_1742_{3249c40b-8701-4dc4-84d3-22b32685cf3b}
Sets the 'hidden' attribute to the following files
  • %ProgramFiles(x86)%\setup.tmp.tmp
Deletes following files that it created itself
  • %TEMP%\933796.uz
  • %ProgramFiles(x86)%\clientwlg\tmp-929453.z
  • %ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
  • <DRIVERS>\wpro_41_1742.sys
Moves the following files
  • from %ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe to %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe
  • from %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe to %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe
  • from %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe to %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe
  • from %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe to %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe
  • from %ProgramFiles(x86)%\clientwlg\wlg_contact.exe to %ProgramFiles(x86)%\clientwlg\wlg_contact.exe
  • from %ProgramFiles(x86)%\clientwlg\wlg_keep.exe to %ProgramFiles(x86)%\clientwlg\wlg_keep.exe
  • from %WINDIR%\syswow64\drivers\set5ed5.tmp to %WINDIR%\syswow64\drivers\wlg_minispy.sys
Modifies the following files
  • %LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl
Network activity
Connects to
  • 'ba##u.com':80
  • 'microsoft.com':80
TCP
HTTP GET requests
  • http://www.ba##u.com/
  • http://www.microsoft.com/
UDP
  • DNS ASK ba##u.com
  • DNS ASK microsoft.com
  • '20#.#24.134.124':9939
  • '20#.#1.134.11':9939
Miscellaneous
Creates and executes the following
  • '%ProgramFiles(x86)%\clientwlg\wlg_contact.exe'
  • '%ProgramFiles(x86)%\clientwlg\getpcinfo.exe'
  • '%WINDIR%\wlg_client_svc.exe'
  • '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0
  • '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0
  • '%ProgramFiles(x86)%\clientwlg\wlg_filemon.exe'
  • '%ProgramFiles(x86)%\clientwlg\wlg_netmon.exe'
Executes the following
  • '%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\filter_64\wlg_minispy.inf
  • '%WINDIR%\syswow64\runonce.exe' -r
  • '%WINDIR%\syswow64\grpconv.exe' -o
  • '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p
  • '%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\filter_64\wlg_minispy.inf' (with hidden window)
  • '%ProgramFiles(x86)%\clientwlg\getpcinfo.exe' ' (with hidden window)
  • '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0' (with hidden window)
  • '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0' (with hidden window)

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play