Защити созданное

Другие наши ресурсы

Закрыть

Библиотека
Моя библиотека

+ Добавить в библиотеку

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86
Локальная тех.поддержка:
+380 (44) 224-41-60

ЧаВо | Форум | Бот самоподдержки Telegram

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86
Локальная тех.поддержка:
+380 (44) 224-41-60

Профиль

BackDoor.Maxplus.14751

Добавлен в вирусную базу Dr.Web:2016-11-30
Описание добавлено:

Техническая информация

Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003] 'LibraryPath' = 'mswsock.dll'
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
  • [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{6d,73,77,73,6f,63,6b,2e,64,6c,6c,00,00,00,00,00,00,00,00,00,00,...
Создает следующие сервисы:
  • [<HKLM>\SYSTEM\ControlSet001\Services\.afd] 'ImagePath' = '\?'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
  • Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
  • '<SYSTEM32>\cmd.exe'
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\cmd.exe
  • <SYSTEM32>\winlogon.exe
  • %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
  • %WINDIR%\$NtUninstallKB27979$\4121336045\@
  • %WINDIR%\$NtUninstallKB27979$\4121336045\L\alehhooo
  • %WINDIR%\$NtUninstallKB27979$\4121336045\Desktop.ini
Самоудаляется.
Сетевая активность:
Подключается к:
  • 'localhost':80
  • 'pr####.fling.com':80
TCP:
Запросы HTTP GET:
  • http://le#####eecounters.com/5699002-2F6F334BF9ACF1B2401D3874A5B0C048/counter.img?th################################ via localhost
  • http://le#####eecounters.com/5699002-2F6F334BF9ACF1B2401D3874A5B0C048/counter.img?th############################### via localhost
  • http://pr####.fling.com/geo/txt/city.php
UDP:
  • DNS ASK �c#�
  • DNS ASK �c#3y�
  • DNS ASK �c#T�1
  • DNS ASK �c#ˀB
  • DNS ASK �c#Z�
  • DNS ASK �c#�8
  • DNS ASK �c#%�
  • DNS ASK �c#�M*
  • DNS ASK pr####.fling.com
  • DNS ASK �c#���
  • DNS ASK �c#q3�
  • DNS ASK �c#�[
  • '72.##8.220.252':16471
  • '17#.#4.12.209':16471
  • '11#.#1.1.209':16471
  • '11#.#7.161.213':16471
  • '24.##8.204.212':16471
  • '18#.#73.64.252':16471
  • '80.##7.70.203':16471
  • '46.##4.194.202':16471
  • '20#.#48.126.2':16471
  • '67.##0.233.207':16471
  • '69.##1.110.253':16471
  • '76.##.97.203':16471
  • '76.##.132.251':16471
  • '85.##4.121.249':16471
  • '11#.#7.146.227':16471
  • '2.###.57.226':16471
  • '17#.#12.96.249':16471
  • '24.#.94.229':16471
  • '31.##2.196.227':16471
  • '12#.#53.179.250':16471
  • '84.##4.36.217':16471
  • '21#.#29.176.216':16471
  • '86.##.126.222':16471
  • '13#.#4.14.250':16471
  • '67.##0.137.250':16471
  • '17#.#25.251.3':16471
  • '95.#47.29.4':16471
  • '12#.73.73.4':16471
  • '24.##6.159.187':16471
  • '17#.#8.168.186':16471
  • '12.#6.233.3':16471
  • '71.##7.168.5':16471
  • '24.##.70.180':16471
  • '21#.#45.253.254':16471
  • '93.##5.231.182':16471
  • '86.#00.42.5':16471
  • '75.##.64.181':16471
  • '14#.#50.167.187':16471
  • '17#.#25.211.2':16471
  • '18#.#43.11.198':16471
  • '10#.#45.253.254':16471
  • '68.##4.153.2':16471
  • '97.##.197.198':16471
  • '11#.#0.112.198':16471
  • '17#.#0.7.190':16471
  • '27.##.104.189':16471
  • '21#.#9.80.189':16471
  • '69.##.50.194':16471
  • '12#.#5.42.193':16471
  • '37.#93.28.3':16471
  • '10#.#2.53.209':16471
  • '98.##1.200.209':16471
  • '79.##.165.215':16471
  • '21#.#17.63.180':16471
  • '99.##6.164.196':16471
  • '24.##.162.205':16471
  • '96.#.157.227':16471
  • '20#.#6.80.231':16471
  • '76.##8.28.233':16471
  • '75.##.26.220':16471
  • '94.##.36.221':16471
  • '89.##5.83.221':16471
  • '67.##8.99.30':16471
  • '75.##3.32.72':16471
  • '12#.#1.16.91':16471
  • '80.##3.61.123':16471
  • '62.##9.117.32':16471
  • '12#.#31.179.42':16471
  • '95.#0.20.72':16471
  • '11#.#32.18.154':16471
  • '78.##6.215.165':16471
  • '74.##3.170.170':16471
  • '17#.#9.68.137':16471
  • '98.##8.225.137':16471
  • '75.##.27.139':16471
  • '69.##2.5.248':16471
  • '12#.#2.8.238':16471
  • '22#.#03.202.236':16471
  • '15#.#7.16.240':16471
  • '18#.#34.191.239':16471
  • '11#.#84.151.239':16471
  • '80.##.249.232':16471
  • '13#.#11.196.231':16471
  • '89.##.125.231':16471
  • '11#.#84.106.248':16471
  • '66.##.212.234':16471
  • '17#.#10.209.248':16471
  • '98.##2.64.240':16471
  • '19#.#89.18.246':16471
  • '93.##5.151.245':16471
  • '93.##3.33.245':16471
  • '67.##.185.235':16471
  • '78.##.196.238':16471
  • '88.##7.42.247':16471
  • '98.##6.32.243':16471
  • '82.##3.72.242':16471
  • '21#.#16.217.240':16471
  • '71.##.127.244':16471
  • '24.##9.89.244':16471
  • '10#.#75.79.243':16471

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2019

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.