Analisado por: John Rey Canon   
 

WebToolbar.Win32.Asparnet.dnq (Kaspersky); Win32/Bundled.Toolbar.Ask.G (NOD32)

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Potentially Unwanted Application

  • Destrutivo:
    Não

  • Criptografado:
     

  • In the Wild:
    Sim

  Visão geral

Wird möglicherweise manuell von einem Benutzer installiert.

  Detalhes técnicos

Tipo de compactação: 5,243,904 bytes
Tipo de arquivo: Other
Residente na memória: Não
Data de recebimento das amostras iniciais: 27 junho 2018

Übertragungsdetails

Wird möglicherweise manuell von einem Benutzer installiert.

Installation

Schleust die folgenden Dateien ein:

  • %User Temp%\WZSE0.TMP\Setup.exe
  • %User Temp%\APN-Stub\St{Random Name}.log
  • %User Temp%\APNLogs\ic.log
  • %User Temp%\AskSLib.dll
  • %Common Programs%\CutePDF\PDF Writer\Readme.lnk
  • %Program Files%\Acro Software\CutePDF Writer\CPWSave.exe.manifest
  • %Program Files%\Acro Software\CutePDF Writer\CPWSave.exe
  • %Program Files%\Acro Software\CutePDF Writer\PDFWrite.rsp
  • %Program Files%\Acro Software\CutePDF Writer\README.HTM
  • %Program Files%\Acro Software\CutePDF Writer\uninscpw.exe
  • %System%\cpwmon2k.dll
  • %System%\spool\drivers\w32x86\CUTEPDFW.PPD
  • %System%\spool\drivers\w32x86\PS5UI.DLL
  • %System%\spool\drivers\w32x86\PSCRIPT.HLP
  • %System%\spool\drivers\w32x86\PSCRIPT.NTF
  • %System%\spool\drivers\w32x86\PSCRIPT5.DLL
  • %User Temp%\converter.exe
  • %User Temp%\is-{Random Name}.tmp\ApnIC.dll
  • %User Temp%\is-{Random Name}.tmp\ApnStub.exe
  • %User Temp%\is-{Random Name}.tmp\Ask_Logo.bmp
  • %User Temp%\is-{Random Name}.tmp\Ask_Toolbar.bmp
  • %User Temp%\is-{Random Name}.tmp\cpwmon2k.dll
  • %User Temp%\is-{Random Name}.tmp\Driver\is-{Random Name}.tmp
  • %User Temp%\is-{Random Name}.tmp\Driver\x64\is-{Random Name}.tmp
  • %User Temp%\is-{Random Name}.tmp\is-{Random Name}.tmp
  • %User Temp%\is-{Random Name}.tmp\UNINSCPW.exe
  • %User Temp%\is-{Random Name}.tmp\WizModernSmallImage-IS.bmp
  • %User Temp%\is-{Random Name}.tmp\_isetup\_RegDLL.tmp
  • %User Temp%\is-{Random Name}.tmp\_isetup\_shfoldr.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %User Temp%\APNLogs
  • %User Temp%\WZSE0.TMP
  • %User Temp%\APN-Stub
  • %User Temp%\is-{Random Name}.tmp
  • %Common Programs%\CutePDF
  • %Program Files%\Acro Software

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
dot = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
dt = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
dtid = ^YYYYYY^YY^PH

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
ff-max-version = 13.*

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
fflu = -2

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
fv = 3.5.7 (en-US)

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
guid = {Users GUID}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
harch = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
hloc = en-US

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
homepageurl = http://www.search.ask.com/?l=dis&o=15087

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
hos = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
iedis = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
ielu = -2

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
iev = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
inst = 200

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
iv = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
1 = dis

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
locale = en_US

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
location = {Users Location}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
make-offer = 1

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
nthp = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
o = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
oi = nop

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
qsrc = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
repurl = http://img.apnanalytics.com/images/nocache/apn/tr.gif?ev=eichk&p2=^AG^YYYYYY^YY^PH&encb={incbid}&chk={ic_chk}&ts={random}&guid=

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
saguid = {Users GUID}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
same-partner = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
slwo = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
tb = ARS

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
tb-installer-path = http://apnmedia.ask.com/media/toolbar/supertoolbar/profile-ask/wrapper/2.3.0/EverestWrapper.exe

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
tb-version = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
to =

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
wft = remote

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
cr-homepageurl = http://www.search.ask.com/?l=dis&o=15087cr

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
crif = 1

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
ff-max-version = 13.*

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
guid = {Users GUID}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
homepageurl = http://www.search.ask.com/?l=dis&o=15087

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
make-offer = 1

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
nthp = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
oi = nop

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Installer
repurl = http://img.apnanalytics.com/images/nocache/apn/tr.gif?ev=eichk&p2=^AG^YYYYYY^YY^PH&encb={incbid}&chk={ic_chk}&ts={random}&guid=

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
cbid = ^AG

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
cr-o = {Random Numbers}cr

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
crumb = {Date}+{Time}-{Random Text}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
dtid = ^YYYYYY^YY^PH

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
1 = dis

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
locale = en_US

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
location = {Users Location}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
o = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
qsrc = {Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
slwo = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\Macro
to =

HKEY_CURRENT_USER\.DEFAULT\Printers\
DevModes2
CutePDF Writer = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
DisplayName = CutePDF Writer 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
UninstallString = C:\Program Files\Acro Software\CutePDF Writer\uninscpw.exe

HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
ProxyEnable = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Connections
SavedLegacySettings = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer
Destination Folder = C:\Program Files\Acro Software\CutePDF Writer

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer
"" = C:\Program Files\GNUGS

HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
ProxyEnable = 0

HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Connections
SavedLegacySettings = {Hex Values}

HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Connections
DefaultConnectionSettings = {Hex Values}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
apn_dbr = ie_{Random Numbers}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
cbid = ^AG

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
client = ic

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
clientv = 9.9.9.9

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
cr = 1

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
cr-homepageurl = http://www.search.ask.com/?l=dis&o=15087cr

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
cr-o = {Random Numbers}cr

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
crif = 1

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
crumb = {Date}+{Time}-{Random Text}

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
crx-path = http://apnmedia.ask.com/media/toolbar/supertoolbar/chrome/ARS/1.17.7.0/aaaappmhgaaggeoepicjahnbofmjacog_7.17.7.0.crx

HKEY_CURRENT_USER\.DEFAULT\Software\
Ask.com.tmp\General
dbr = {Random Numbers}

  Solução

Mecanismo de varredura mínima: 9.850
SSAPI Pattern File: 1.995.00
SSAPI Pattern Release Date: 06 setembro 2018

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Diesen Registrierungsschlüssel löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_CURRENT_USER\.DEFAULT\Software
    • Ask.com.tmp
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
    • CutePDF Writer Installation
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • Acro Software Inc

Step 4

Diese Ordner suchen und löschen

[ Saber mais ]
Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.
  • %User Temp%\WZSE0.TMP
  • %User Temp%\APN-Stub
  • %User Temp%\is-{Random Name}.tmp
  • %Common Programs%\CutePDF
  • %Program Files%\Acro Software
  • %User Temp%\APNLogs

Step 6

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als PUA_BUNDLER.GB entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!