FakeScanti

 Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Trojan

  • Destrutivo:
    Não

  • Criptografado:
     

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Aus dem Internet heruntergeladen


  Detalhes técnicos

Residente na memória: Sim
Carga útil: Displays fake scan results, Downloads files

Installation

Schleust die folgenden Dateien ein:

  • %User Temp%\win3.tmp
  • %Windows%\ab7498d3.lg
  • %Windows%\trkwksa.dll
  • %Windows%\trkwksa.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %Program Files%\qtime8_32.exe
  • %User Temp%\winupd64x.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Quick Time Updater = "%Program Files%\qtime8_32.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winupd64x.exe = "%User Temp%\winupd64x.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
trkwksa = "%Windows%\trkwksa.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software
fcb39e92-5c9b-4f6f-9765-77b959568acb =

HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus
ID = "mmb"

HKEY_CURRENT_USER\Software\hycg\
hycg
lld = "{month-day of execution}"

HKEY_CURRENT_USER\Software\hycg\
hycg
pddc = "{month-day of execution}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
kwsg
DisplayName = "Addendum Sidebar"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
kwsg
UninstallString = "%Windows%\trkwksa.exe" /dels"

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus

HKEY_CURRENT_USER\Software\hycg

HKEY_CURRENT_USER\Software\hycg\
hycg

HKEY_CURRENT_USER\Software\Microsoft\
ab7498d3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
kwsg