Analisado por: Abraham Latimer Camba   
 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Trojan

  • Destrutivo:
    Não

  • Criptografado:
     

  • In the Wild:
    Sim

  Visão geral

Leitet Dateien durch Hinzufügen bestimmter Registrierungseinträge um. Dadurch kann diese Malware ausgeführt werden, auch wenn andere Anwendungen geöffnet sind.

  Detalhes técnicos

Tipo de compactação: 356,352 bytes
Tipo de arquivo: EXE
Residente na memória: Sim
Data de recebimento das amostras iniciais: 02 março 2012

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

  • C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe

Autostart-Technik

Leitet Dateien um, damit sie beim Zugriff auf bestimmte Dateitypen ausgeführt wird, indem sie die folgenden Einträge hinzufügt:

HKEY_CLASSES_ROOT\.exe
(Default) = "{first 5 characters of malware filename}"

(Note: The default value data of the said registry entry is exefile.)

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}
(Default) = "Application"

HKEY_CLASSES_ROOT\%s
(Default) = "{first 5 characters of malware filename}"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}
Content Type = "application/x-msdownload"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas\command
(Default) = "C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe" -s "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command
(Default) = "C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe" -s "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command
(Default) = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command
IsolatedCommand = "%1" %*

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_CLASSES_ROOT\%s

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\DefaultIcon

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas

HKEY_CLASSES_ROOT\{random value}\shell\
runas\command

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc

  Solução

Mecanismo de varredura mínima: 9.200
Primeiro arquivo padrão VSAPI: 8.812.02
Data do lançamento do primeiro padrão VSAPI: 02 março 2012
VSAPI OPR Pattern Version: 8.813.00
VSAPI OPR Pattern veröffentlicht am: 03 março 2012

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Da diese Malware Rootkit-Technologie verwendet, wird sie bei Erkennung und Entfernung im normalen oder abgesicherten Modus möglicherweise nicht vollständig beseitigt. Mit diesen Schritten wird das System über die Windows Wiederherstellungskonsole neu gestartet.

  1. Legen Sie die Windows Installations-CD in das CD-Laufwerk ein, und drücken Sie die Schaltfläche Neu starten.
  2. Drücken Sie nach Aufforderung eine beliebige Taste, um von CD zu starten.
  3. Geben Sie im Hauptmenü r ein, um die Wiederherstellungskonsole zu öffnen.
  4. Geben Sie den Laufwerksbuchstaben für Windows ein (in der Regel C:), und drücken Sie die Eingabetaste.
  5. Geben Sie folgenden Befehl ein, und drücken Sie die Eingabetaste:
    SET AllowAllPaths = TRUE
    DEL "%System Root%\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe"
  6. Geben Sie exit ein, und drücken Sie die Eingabetaste, um das System normal zu starten.

Step 3

Diesen geänderten Registrierungswert wiederherstellen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_CLASSES_ROOT\.exe
    • From: (Default) = "{first 5 characters of malware filename}"
      To: (Default) = "exefile"

Step 4

Diesen Registrierungswert löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride = "1"

Step 5

Diesen Registrierungsschlüssel löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_CLASSES_ROOT
    • %s
  • In HKEY_CLASSES_ROOT
    • {first 5 characters of malware filename}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • svc

Step 6

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als TROJ_FAKEAV.KPP entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!

Entradas de blog relacionadas