Trojan.DownLoader8.48791

Technical Information

Malicious functions:

Injects code into

the following system processes:

<SYSTEM32>\services.exe
%WINDIR%\Explorer.EXE

Modifies file system :

Creates the following files:

C:\RECYCLER\S-1-5-18\$2ebe1c2e2a38cb36436c4d1cb8c2630c\n
C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$I58AFF310
C:\RECYCLER\S-1-5-18\$2ebe1c2e2a38cb36436c4d1cb8c2630c\@
C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$2ebe1c2e2a38cb36436c4d1cb8c2630c\@
C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$2ebe1c2e2a38cb36436c4d1cb8c2630c\n

Moves itself:

from <Full path to virus> to C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$R58AFF310

Network activity:

Connects to:

'20#.#8.32.176':80
'j.###mind.com':80

TCP:

HTTP GET requests:

20#.#8.32.176/count.php?pa################################
j.###mind.com/app/geoip.js

UDP:

DNS ASK pz#S��
DNS ASK pz#��r
DNS ASK pz#�c�@
DNS ASK pz#��;�
DNS ASK pz#HS
DNS ASK pz#J��
DNS ASK j.###mind.com
DNS ASK pz#�=�
DNS ASK pz#L�é
DNS ASK pz#�H�
'14.##.181.68':16464
'11#.#7.213.66':16464
'76.##4.217.60':16464
'81.#.247.68':16464
'19#.#21.78.240':16464
'68.##.113.240':16464
'66.##.144.47':16464
'98.##9.115.45':16464
'11#.#1.194.43':16464
'98.##2.149.59':16464
'17#.#0.99.59':16464
'11#.#75.124.58':16464
'84.##5.186.102':16464
'17#.#5.129.102':16464
'2.##7.21.98':16464
'36.##7.86.225':16464
'93.##4.69.106':16464
'74.##0.251.105':16464
'11#.#42.113.88':16464
'61.#3.3.74':16464
'1.##.204.71':16464
'49.##5.226.94':16464
'75.##0.204.92':16464
'80.#62.1.89':16464
'96.##.194.42':16464
'11#.#6.144.253':16464
'16#.#15.106.11':16464
'67.##7.170.6':16464
'76.##1.144.16':16464
'15#.#49.37.253':16464
'46.#3.16.15':16464
'18#.#54.253.254':16464
'19#.#54.253.254':16464
'20#.#54.253.254':16464
'11#.#54.253.254':16464
'13#.#54.253.254':16464
'16#.#54.253.254':16464
'76.##.166.37':16464
'12#.#38.123.248':16464
'95.##5.203.36':16464
'72.##.152.41':16464
'78.##1.100.39':16464
'61.##.114.38':16464
'60.##4.22.27':16464
'14#.#72.209.24':16464
'81.##2.123.19':16464
'21#.#8.122.34':16464
'50.##5.86.29':16464
'21#.#6.24.28':16464

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android