Trojan.PWS.RedLine.17

Technical Information

Malicious functions

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\weeklysheet1215.doc

Modifies file system

Creates the following files

%TEMP%\tmpb01c.tmp
%TEMP%\tmpb342.tmp
%TEMP%\tmpb341.tmp
%TEMP%\tmpb340.tmp
%TEMP%\tmpb33f.tmp
%TEMP%\tmpb32f.tmp
%TEMP%\tmpb32e.tmp
%TEMP%\tmpb32d.tmp
%TEMP%\tmpb32c.tmp
%TEMP%\tmpb31b.tmp
%TEMP%\tmpb31a.tmp
%TEMP%\tmpb319.tmp
%TEMP%\tmpb318.tmp
%TEMP%\tmpb308.tmp
%TEMP%\tmpb307.tmp
%TEMP%\tmpb306.tmp
%TEMP%\tmpb305.tmp
%TEMP%\tmpb2f4.tmp
%TEMP%\tmpb2f3.tmp
%TEMP%\tmpb2f2.tmp
%TEMP%\tmpb2f1.tmp
%TEMP%\tmpb2e0.tmp
%TEMP%\tmpb2de.tmp
%TEMP%\tmpb2df.tmp
%TEMP%\tmpb353.tmp
%TEMP%\tmpb354.tmp
%TEMP%\tmpb3f6.tmp
%TEMP%\tmpb3d6.tmp
%TEMP%\tmpb3d5.tmp
%TEMP%\tmpb3d4.tmp
%TEMP%\tmpb3c4.tmp
%TEMP%\tmpb3c3.tmp
%TEMP%\tmpb3c2.tmp
%TEMP%\tmpb3c1.tmp
%TEMP%\tmpb3b0.tmp
%TEMP%\tmpb3af.tmp
%TEMP%\tmpb3ad.tmp
%TEMP%\tmpb281.tmp
%TEMP%\tmpb39c.tmp
%TEMP%\tmpb39b.tmp
%TEMP%\tmpb39a.tmp
%TEMP%\tmpb399.tmp
%TEMP%\tmpb389.tmp
%TEMP%\tmpb388.tmp
%TEMP%\tmpb377.tmp
%TEMP%\tmpb376.tmp
%TEMP%\tmpb356.tmp
%TEMP%\tmpb355.tmp
%TEMP%\tmpb2dd.tmp
%TEMP%\tmpb2cd.tmp
%TEMP%\tmpb2cc.tmp
%TEMP%\tmpb204.tmp
%TEMP%\tmpb203.tmp
%TEMP%\tmpb1f3.tmp
%TEMP%\tmpb1f2.tmp
%TEMP%\tmpb1e1.tmp
%TEMP%\tmpb1e0.tmp
%TEMP%\tmpb1df.tmp
%TEMP%\tmpb1ce.tmp
%TEMP%\tmpb1cd.tmp
%TEMP%\tmpb1bd.tmp
%TEMP%\tmpb1ac.tmp
%TEMP%\tmpb19c.tmp
%TEMP%\tmpb19b.tmp
%TEMP%\tmpb18a.tmp
%TEMP%\tmpb179.tmp
%TEMP%\tmpb178.tmp
%TEMP%\tmpb168.tmp
%TEMP%\tmpb167.tmp
%TEMP%\tmpb156.tmp
%TEMP%\tmpb117.tmp
%TEMP%\tmpb216.tmp
%TEMP%\tmpb217.tmp
%TEMP%\tmpb205.tmp
%TEMP%\tmpb227.tmp
%TEMP%\tmpb2cb.tmp
%TEMP%\tmpb228.tmp
%TEMP%\tmpb2ba.tmp
%TEMP%\tmpb2b9.tmp
%TEMP%\tmpb2b8.tmp
%TEMP%\tmpb2b7.tmp
%TEMP%\tmpb2a7.tmp
%TEMP%\tmpb2a6.tmp
%TEMP%\tmpb2a5.tmp
%TEMP%\tmpb294.tmp
%TEMP%\tmpb293.tmp
%TEMP%\tmpb3ae.tmp
%TEMP%\tmpb417.tmp
%TEMP%\tmpb280.tmp
%TEMP%\tmpb27f.tmp
%TEMP%\tmpb26f.tmp
%TEMP%\tmpb25e.tmp
%TEMP%\tmpb25d.tmp
%TEMP%\tmpb24d.tmp
%TEMP%\tmpb24c.tmp
%TEMP%\tmpb23b.tmp
%TEMP%\tmpb23a.tmp
%TEMP%\tmpb229.tmp
%TEMP%\tmpb292.tmp
%TEMP%\tmpb427.tmp

Deletes the following files

%TEMP%\tmpb117.tmp
%TEMP%\tmpb306.tmp
%TEMP%\tmpb308.tmp
%TEMP%\tmpb319.tmp
%TEMP%\tmpb31b.tmp
%TEMP%\tmpb32d.tmp
%TEMP%\tmpb32f.tmp
%TEMP%\tmpb340.tmp
%TEMP%\tmpb342.tmp
%TEMP%\tmpb354.tmp
%TEMP%\tmpb2f2.tmp
%TEMP%\tmpb2f4.tmp
%TEMP%\tmpb356.tmp
%TEMP%\tmpb39a.tmp
%TEMP%\tmpb39c.tmp
%TEMP%\tmpb3ae.tmp
%TEMP%\tmpb3b0.tmp
%TEMP%\tmpb3c2.tmp
%TEMP%\tmpb3c4.tmp
%TEMP%\tmpb3d5.tmp
%TEMP%\tmpb3d6.tmp
%TEMP%\tmpb3f6.tmp
%TEMP%\tmpb377.tmp
%TEMP%\tmpb389.tmp
%TEMP%\tmpb2e0.tmp
%TEMP%\tmpb2de.tmp
%TEMP%\tmpb2cd.tmp
%TEMP%\tmpb178.tmp
%TEMP%\tmpb18a.tmp
%TEMP%\tmpb19c.tmp
%TEMP%\tmpb1bd.tmp
%TEMP%\tmpb1ce.tmp
%TEMP%\tmpb1e0.tmp
%TEMP%\tmpb1f2.tmp
%TEMP%\tmpb203.tmp
%TEMP%\tmpb205.tmp
%TEMP%\tmpb217.tmp
%TEMP%\tmpb167.tmp
%TEMP%\tmpb228.tmp
%TEMP%\tmpb24c.tmp
%TEMP%\tmpb25d.tmp
%TEMP%\tmpb26f.tmp
%TEMP%\tmpb280.tmp
%TEMP%\tmpb292.tmp
%TEMP%\tmpb294.tmp
%TEMP%\tmpb2a6.tmp
%TEMP%\tmpb2b7.tmp
%TEMP%\tmpb2b9.tmp
%TEMP%\tmpb2cb.tmp
%TEMP%\tmpb23a.tmp
%TEMP%\tmpb417.tmp
%TEMP%\tmpb427.tmp

Network activity

TCP

HTTP POST requests

http://18#.##0.232.165:81/ via 18#.#20.232.165

'ap#.ip.sb':443

'ip##fo.io':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ap#.ip.sb
DNS ASK ip##fo.io
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android