Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader11.26839
Добавлен в вирусную базу Dr.Web:
2014-08-11
Описание добавлено:
2014-08-11
Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
%WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-4.job
%WINDIR%\Tasks\fcef7c25-d527-415c-ae73-f32fa283cc8b.job
%WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-3.job
%WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.job
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
'%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.exe' /MsHHOKbvr=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
'%PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe' /regsvc
'%TEMP%\nsw3.tmp\Wkaqcf.exe'
'%TEMP%\comh.114265\GoogleUpdate.exe' /silent /install "appguid={89ad9142-09f5-4c41-9caa-5911004057b4}&appname=2bc7136a-521e-4c0d-8b8a-1449004088c7&needsadmin=True&lang=en"
Завершает или пытается завершить
следующие пользовательские процессы:
opera.exe
firefox.exe
iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8.crx
%PROGRAM_FILES%\HD-Quality-V1.3\fc150562-239d-47b0-856e-f967c40a1192.crx
%PROGRAM_FILES%\HD-Quality-V1.3\1293297481.mxaddon
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
%TEMP%\nsx6.tmp\ExecDos.dll
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
%TEMP%\Cab7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\HD-Quality-V1.3\7078c249-dd0d-4977-b453-6060b237821b.crx
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-3.exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8BD11C4A2318EC8E5A82462092971DEA
%PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psmachine.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psuser.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateOnDemand.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateBroker.exe
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-4.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateHelper.msi
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8_.xpi
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8BD11C4A2318EC8E5A82462092971DEA
%TEMP%\Cab9.tmp
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
%TEMP%\CabB.tmp
%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8.xpi
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%TEMP%\nsx6.tmp\InstallerUtils2.dll
%TEMP%\nsx6.tmp\InstallerUtils.dll
%TEMP%\nsx6.tmp\System.dll
%TEMP%\nsx6.tmp\nsisos.dll
%TEMP%\nsx6.tmp\inetc.dll
%TEMP%\nsx6.tmp\UserInfo.dll
%TEMP%\nsx6.tmp\md5dll.dll
%TEMP%\nsx6.tmp\StdUtils.dll
%TEMP%\nsw3.tmp\Xmbmwboprklb.tmp
%TEMP%\nsw3.tmp\System.dll
%TEMP%\nsh2.tmp
%TEMP%\nsw3.tmp\WrapperUtils.dll
%TEMP%\nsc5.tmp
%TEMP%\nsw3.tmp\StdUtils.dll
%TEMP%\nsw3.tmp\Wkaqcf.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\comh.114265\goopdate.dll
%TEMP%\comh.114265\GoogleUpdateOnDemand.exe
%TEMP%\comh.114265\GoogleUpdateHelper.msi
%TEMP%\comh.114265\goopdateres_en.dll
%TEMP%\comh.114265\psuser.dll
%TEMP%\comh.114265\psmachine.dll
%TEMP%\comh.114265\npGoogleUpdate4.dll
%TEMP%\comh.114265\GoogleUpdateBroker.exe
%TEMP%\nsx6.tmp\19801
%PROGRAM_FILES%\HD-Quality-V1.3\utils.exe
%TEMP%\nsx6.tmp\update.json
%TEMP%\nsx6.tmp\2449
%TEMP%\comh.114265\GoogleUpdate.exe
%TEMP%\comh.114265\GoogleCrashHandler.exe
%PROGRAM_FILES%\HD-Quality-V1.3\Uninstall.exe
Удаляет следующие файлы:
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\nsx6.tmp\2449
%TEMP%\Cab7.tmp
Сетевая активность:
Подключается к:
'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'ts####.ws.symantec.com':80
'lo##.##fostatsserv.com':80
'up####.#nfostatsserv.com':80
'er####.#nfostatsserv.com':80
'st###.#nfostatsserv.com':80
TCP:
Запросы HTTP GET:
cr#.#hawte.com/ThawteTimestampingCA.crl
ts####.ws.symantec.com/tss-ca-g2.crl
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.#nfostatsserv.com/installer_updates/001669/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
DNS ASK www.download.windowsupdate.com
DNS ASK cr#.#hawte.com
DNS ASK ts####.ws.symantec.com
DNS ASK lo##.##fostatsserv.com
DNS ASK up####.#nfostatsserv.com
DNS ASK er####.#nfostatsserv.com
DNS ASK st###.#nfostatsserv.com
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK