Trojan.MulDrop33.30215

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ntfyapp' = '%WINDIR%\ntfyapp.exe'

Malicious functions

Executes the following

'%WINDIR%\syswow64\netsh.exe' firewall set allowedprogram "%WINDIR%\ntfyapp.exe" enable

Modifies file system

Creates the following files

%WINDIR%\ntfyapp.exe
%WINDIR%\ntfyapp.config

Network activity

UDP

'22#.#54.100.235':12366
'22#.#54.97.38':3291
'22#.#54.69.242':33746
'22#.#54.69.233':10921
'22#.#53.235.251':19610
'22#.#53.235.33':19610
'22#.#53.234.49':32202
'22#.#53.93.7':20468
'22#.#52.209.196':12366
'22#.#52.136.121':31632
'22#.#33.184.93':18714
'22#.#11.246.42':4955
'22#.#7.194.242':22338
'22#.#7.43.143':19529
'22#.#43.211.218':29813
'22#.#5.248.99':5191
'22#.36.93.4':4861
'22#.#27.133.90':14095
'22#.#26.65.112':19456
'22#.#13.169.105':8811
'22#.#2.112.31':10020
'22#.#8.145.112':2416
'22#.#.165.182':18971
'21#.#4.219.126':30714
'21#.#51.59.197':15604
'21#.#09.206.194':3025
'21#.#45.128.101':9896
'21#.#01.255.4':27592
'21#.#8.9.235':16265
'21#.#19.174.131':33755
'21#.#94.135.8':13567
'21#.#4.169.232':23080
'21#.#8.207.162':13992
'21#.#43.148.174':28883
'21#.#63.118.25':11307
'21#.#0.102.71':22252
'21#.#.104.12':20837
'21#.#43.164.124':31074
'21#.#30.83.10':22385
'21#.#17.134.107':2759
'21#.#16.140.47':2708
'21#.#02.173.173':23466
'21#.#99.187.12':12851
'21#.#92.150.225':30843
'21#.#79.33.18':14455
'21#.#12.83.85':14532
'21#.#2.174.235':14125
'21#.#1.53.232':18894
'21#.#12.1.18':4415
'21#.#6.103.70':6499
'21#.#8.76.187':8922
'20#.#42.189.111':18336
'20#.#20.202.105':11873
'20#.#02.240.129':32790
'20#.#6.132.90':27489
'20#.#55.48.156':25709
'20#.#51.63.151':63651
'20#.#17.53.110':8948
'20#.#98.255.247':11890
'20#.#24.238.253':21789
'20#.#23.32.131':12388
'20#.#11.232.106':19782
'20#.#0.91.69':30598
'20#.#7.179.158':23526
'20#.#6.223.148':19739
'20#.#77.169.122':24028
'20#.#68.245.12':3081
'20#.#31.182.120':9720
'20#.#23.248.187':27090
'20#.#4.244.164':11045
'20#.#2.41.16':6122
'20#.#3.101.212':6246
'20#.#2.86.14':18817
'20#.#8.96.132':2918
'20#.#.250.119':18984
'20#.#.250.41':18984
'20#.#53.165.94':9261
'20#.#48.108.223':28059
'20#.#45.60.69':5860
'20#.#09.5.30':27948
'20#.#70.4.225':24096
'20#.#5.207.171':26189
'20#.#13.186.130':14974
'20#.#21.132.150':24787
'20#.#21.132.14':21776
'20#.#21.83.51':16235
'20#.#21.72.87':19087
'20#.#17.111.60':30903
'20#.#2.86.246':13610
'20#.#7.191.185':10775
'20#.#4.136.30':20361
'19#.#26.54.232':9630
'19#.#17.223.29':24731
'19#.#17.216.126':24731
'19#.#17.33.185':8729
'19#.#06.82.0':3497
'19#.#05.236.191':32202
'19#.#5.109.202':32262
'19#.#50.77.246':14185
'19#.#8.209.66':18341
'19#.#4.165.167':2553
'19#.#79.44.120':1348
'19#.#9.246.111':21467
'19#.#4.218.133':14768
'19#.#38.164.178':21785

Miscellaneous

Creates and executes the following

'%WINDIR%\ntfyapp.exe'

Executes the following

'%WINDIR%\syswow64\w32tm.exe' /config /syncfromflags:manual /manualpeerlist:time.windows.com,time.nist.gov
'%WINDIR%\syswow64\w32tm.exe' /config /update
'<SYSTEM32>\w32tm.exe' /config /syncfromflags:manual /manualpeerlist:time.windows.com,time.nist.gov
'<SYSTEM32>\w32tm.exe' /config /update
'%WINDIR%\syswow64\w32tm.exe' /config /syncfromflags:manual /manualpeerlist:time.windows.com,time.nist.gov' (with hidden window)
'%WINDIR%\syswow64\w32tm.exe' /config /update' (with hidden window)
'%WINDIR%\syswow64\netsh.exe' firewall set allowedprogram "%WINDIR%\ntfyapp.exe" enable' (with hidden window)

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android