ПОЛЬЗОВАТЕЛЯМ

Закрыть

Поиск

Поиск

Поддержка
Круглосуточная поддержка

Напишите

Запрос через форму

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Напишите

Задать вопрос в поддержку

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

BY

RU CN DE EN ES FR IT JP KZ UZ PL BY
Закрыть
Сервисы
Сканеры
Dr.Web vxCube
Демо
Экспертиза ВКИ
Вирусная библиотека
База знаний

Технологии

Термины

Обучение и просвещение

Мифы

Новости

Trojan.Siggen31.56491

Добавлен в вирусную базу Dr.Web: 2025-09-16

Описание добавлено:

Technical Information

To ensure autorun and distribution
Modifies the following registry keys
  • [HKLM\SOFTWARE\Classes\CLSID\{FCEA18FF-BC55-4E63-94D7-1B2EFBFE706F}\Shell\Open\Command] '' = '%ProgramFiles(x86)%\StartIsBack\StartIsBackCfg.exe'
  • [HKLM\SOFTWARE\Classes\sib-reactivate\shell\open\command] '' = '"%ProgramFiles(x86)%\StartIsBack\StartIsBackCfg.exe" /reactivate %1'
  • [HKLM\SOFTWARE\Classes\sib-activate\shell\open\command] '' = '"%ProgramFiles(x86)%\StartIsBack\StartIsBackCfg.exe" /activate %1'
Creates or modifies the following files
  • <SYSTEM32>\tasks\startisback health check
  • <SYSTEM32>\tasks\createexplorershellunelevatedtask
Malicious functions
Executes the following
  • '%WINDIR%\syswow64\taskkill.exe' /F /IM startscreen*
  • '%WINDIR%\syswow64\taskkill.exe' /F /IM explorer*
Modifies file system
Creates the following files
  • C:\kinghaze\w10_1\orbs\shamrock.orb
  • C:\kinghaze\w10_1\orbs\start3.bmp
  • C:\kinghaze\w10_1\orbs\startisback_ei8htorb_v2_by_painter.bmp
  • C:\kinghaze\w10_1\orbs\windows 7.orb
  • C:\kinghaze\w10_1\styles\plain10.msstyles
  • C:\kinghaze\w10_1\styles\plain8.msstyles
  • C:\kinghaze\w10_1\styles\windows 7.msstyles
  • C:\kinghaze\w10_2\orbs\shamrock.orb
  • C:\kinghaze\w10_2\orbs\startisback_ei8htorb_v2_by_painter.bmp
  • C:\kinghaze\w10_2\orbs\windows 7.orb
  • C:\kinghaze\w10_2\styles\plain10.msstyles
  • C:\kinghaze\w10_2\styles\plain8.msstyles
  • C:\kinghaze\w10_2\styles\windows 7.msstyles
  • C:\kinghaze\w11\orbs\clover.svg
  • C:\kinghaze\w11\orbs\e1evenorb-pr.png
  • C:\kinghaze\w11\orbs\w8logo.svg
  • C:\kinghaze\w11\orbs\windows 7.orb
  • C:\kinghaze\w11\ribbon\theme-dark\accessmedia.svg
  • C:\kinghaze\w11\ribbon\theme-dark\easyaccess.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.addremoveprograms.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.computer.manage.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.copytomenu.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.folderoptions.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.help.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.hideselected.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.layout.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.movetomenu.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.multiverb.cmd.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.multiverb.cmdpromptasadministrator.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.open.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.opencontrolpanel.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.pastelink.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.removeproperties.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.ribbonpermissionsdialog.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.shareprivate.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.slideshow.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.systemproperties.svg
  • C:\kinghaze\w11\ribbon\theme-dark\windows.troubleshoot.svg
  • C:\kinghaze\w11\ribbon\theme-light\accessmedia.svg
  • C:\kinghaze\w11\ribbon\theme-light\easyaccess.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.addremoveprograms.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.computer.manage.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.copytomenu.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.edit.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.email.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.folderoptions.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.help.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.hideselected.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.layout.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.movetomenu.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.multiverb.cmd.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.multiverb.cmdpromptasadministrator.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.open.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.opencontrolpanel.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.pastelink.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.removeproperties.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.ribbonpermissionsdialog.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.shareprivate.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.slideshow.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.systemproperties.svg
  • C:\kinghaze\w11\ribbon\theme-light\windows.troubleshoot.svg
  • C:\kinghaze\w11\styles\plain8.msstyles
  • C:\kinghaze\w11\styles\windows 7.msstyles
  • C:\kinghaze\w8\orbs\start3.bmp
  • C:\kinghaze\w8\orbs\startisback_ei8htorb_v2_by_painter.bmp
  • C:\kinghaze\w8\orbs\win7_106.bmp
  • C:\kinghaze\w8\orbs\win7_54.bmp
  • C:\kinghaze\w8\orbs\win7_66.bmp
  • C:\kinghaze\w8\orbs\win7_81.bmp
  • C:\kinghaze\w8\orbs\win8_106.bmp
  • C:\kinghaze\w8\orbs\win8_54.bmp
  • C:\kinghaze\w8\orbs\win8_66.bmp
  • C:\kinghaze\w8\orbs\win8_81.bmp
  • C:\kinghaze\w8\styles\aero 8.msstyles
  • C:\kinghaze\w8\styles\aerobydesign.msstyles
  • C:\kinghaze\w8\styles\plain8.msstyles
  • C:\kinghaze\w81\orbs\shamrock_106.bmp
  • C:\kinghaze\w81\orbs\shamrock_54.bmp
  • C:\kinghaze\w81\orbs\shamrock_66.bmp
  • C:\kinghaze\w81\orbs\shamrock_81.bmp
  • C:\kinghaze\w81\orbs\start3.bmp
  • C:\kinghaze\w81\orbs\startisback_ei8htorb_v2_by_painter.bmp
  • C:\kinghaze\w81\orbs\win7_106.bmp
  • C:\kinghaze\w81\orbs\win7_54.bmp
  • C:\kinghaze\w81\orbs\win7_66.bmp
  • C:\kinghaze\w81\orbs\win7_81.bmp
  • C:\kinghaze\w81\styles\aero 8.msstyles
  • C:\kinghaze\w81\styles\aerobydesign.msstyles
  • C:\kinghaze\w81\styles\plain8.msstyles
  • C:\kinghaze\w81\styles\windows 7.msstyles
  • C:\kinghaze\kur.exe
  • C:\kinghaze\w10_1\startisback32.dll
  • C:\kinghaze\w10_1\startisback64.dll
  • C:\kinghaze\w10_1\startisbackcfg.exe
  • C:\kinghaze\w10_1\startscreen.exe
  • C:\kinghaze\w10_2\startisback32.dll
  • C:\kinghaze\w10_2\startisback64.dll
  • C:\kinghaze\w10_2\startisbackcfg.exe
  • C:\kinghaze\w10_2\startscreen.exe
  • C:\kinghaze\w11\darkmagicloaderx64.exe
  • C:\kinghaze\w11\darkmagicloaderx86.exe
  • C:\kinghaze\w11\darkmagicx64.dll
  • C:\kinghaze\w11\darkmagicx86.dll
  • C:\kinghaze\w11\startallbackcfg.exe
  • C:\kinghaze\w11\startallbackloaderx64.dll
  • C:\kinghaze\w11\startallbackx64.dll
  • C:\kinghaze\w11\updatecheck.exe
  • C:\kinghaze\w8\startisback32.dll
  • C:\kinghaze\w8\startisback64.dll
  • C:\kinghaze\w8\startisbackcfg.exe
  • C:\kinghaze\w8\startscreen.exe
  • C:\kinghaze\w81\startisback32.dll
  • C:\kinghaze\w81\startisback64.dll
  • C:\kinghaze\w81\startisbackcfg.exe
  • C:\kinghaze\w81\startscreen.exe
  • %ProgramFiles(x86)%\startisback\startisback32.dll
  • %ProgramFiles(x86)%\startisback\startisbackcfg.exe
  • %ProgramFiles(x86)%\startisback\startscreen.exe
  • %ProgramFiles(x86)%\startisback\startisback64.dll
  • %ProgramFiles(x86)%\startisback\orbs\shamrock.orb
  • %ProgramFiles(x86)%\startisback\orbs\startisback_ei8htorb_v2_by_painter.bmp
  • %ProgramFiles(x86)%\startisback\orbs\windows 7.orb
  • %ProgramFiles(x86)%\startisback\styles\plain10.msstyles
  • %ProgramFiles(x86)%\startisback\styles\plain8.msstyles
  • %ProgramFiles(x86)%\startisback\styles\windows 7.msstyles
  • %TEMP%\sibtask.xml
  • %TEMP%\auteea1.tmp
  • %ProgramFiles(x86)%\startisback\msimg32.dll
  • %TEMP%\startscreen\startscreen.lnk
  • %TEMP%\startscreen\desktop.ini
  • %LOCALAPPDATA%\startisback\cache\appsfolder.dat.new
Moves the following files
  • from %LOCALAPPDATA%\startisback\cache\appsfolder.dat.new to %LOCALAPPDATA%\startisback\cache\appsfolder.dat
Modifies the following files
  • %LOCALAPPDATA%\microsoft\penworkspace\discovercachedata.dat
Miscellaneous
Searches for the following windows
  • ClassName: '' WindowName: ''
  • ClassName: 'Progman' WindowName: ''
  • ClassName: 'Proxy Desktop' WindowName: ''
  • ClassName: 'ReBarWindow32' WindowName: ''
  • ClassName: 'MSTaskSwWClass' WindowName: ''
  • ClassName: 'MSTaskListWClass' WindowName: ''
  • ClassName: 'PeopleBand' WindowName: ''
  • ClassName: 'TrayButton' WindowName: ''
  • ClassName: 'Shell_SecondaryTrayWnd' WindowName: ''
  • ClassName: 'TrayDummySearchControl' WindowName: ''
  • ClassName: 'Edit' WindowName: ''
  • ClassName: 'Static' WindowName: ''
  • ClassName: 'Button' WindowName: ''
  • ClassName: 'ToolbarWindow32' WindowName: ''
  • ClassName: 'DynamicContent1' WindowName: ''
  • ClassName: 'TrayNotifyWnd' WindowName: ''
  • ClassName: 'TrayShowDesktopButtonWClass' WindowName: ''
  • ClassName: 'PenWorkspaceButton' WindowName: ''
  • ClassName: 'TIPBand' WindowName: ''
  • ClassName: 'TrayClockWClass' WindowName: ''
  • ClassName: 'VirtualTouchpad' WindowName: ''
  • ClassName: 'CopilotButton' WindowName: ''
  • ClassName: 'TrayInputIndicatorWClass' WindowName: ''
  • ClassName: 'InputIndicatorButton' WindowName: ''
  • ClassName: 'IMEModeButton' WindowName: ''
  • ClassName: 'DynamicContent2' WindowName: ''
  • ClassName: 'NotifyIconOverflowWindow' WindowName: ''
  • ClassName: 'TaskListThumbnailWnd' WindowName: ''
  • ClassName: 'SysPager' WindowName: ''
  • ClassName: 'tooltips_class32' WindowName: ''
  • ClassName: 'Start' WindowName: ''
  • ClassName: '' WindowName: 'Network Flyout'
  • ClassName: 'SysTreeView32' WindowName: ''
  • ClassName: 'ApplicationFrameWindow' WindowName: ''
  • ClassName: 'ShellDLL_DefView' WindowName: ''
  • ClassName: 'SystemTray_Main' WindowName: ''
  • ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
  • ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Creates and executes the following
  • 'C:\kinghaze\kur.exe'
  • 'C:\kinghaze\w10_2\startisbackcfg.exe' /install /elevated /silent
  • 'C:\kinghaze\w10_2\startscreen.exe' /stop
  • '%ProgramFiles(x86)%\startisback\startscreen.exe' /unpin
  • '%ProgramFiles(x86)%\startisback\startisbackcfg.exe' /welcome
Executes the following
  • '%WINDIR%\syswow64\schtasks.exe' /Create /TN "\StartIsBack health check" /XML "%TEMP%\sibtask.xml"
  • '%WINDIR%\explorer.exe'
  • '%WINDIR%\explorer.exe' /NoUACCheck
  • 'C:\kinghaze\w10_2\startscreen.exe' /stop' (with hidden window)
  • '%WINDIR%\syswow64\taskkill.exe' /F /IM startscreen*' (with hidden window)
  • '%WINDIR%\syswow64\taskkill.exe' /F /IM explorer*' (with hidden window)
  • '%WINDIR%\syswow64\schtasks.exe' /Create /TN "\StartIsBack health check" /XML "%TEMP%\sibtask.xml"' (with hidden window)

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

 

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта
Скачать с Google Play