Trojan.Win32.INJECTOR.EPLCRM

Data de publicação: 17 agosto 2022

Analisado por: Eleazar Valles

Modificado por: : Nathaniel Gregory Ragasa

Trojan.PSW.Maran (IKARUS)

Plataforma:

Windows

Classificao do risco total:

Potencial de dano:

Potencial de distribuição:

infecção relatada:

Exposição das informações:

Baixo

Medium

Alto

Crítico

Tipo de grayware:
Trojan
Destrutivo:
Não
Criptografado:
Não
In the Wild:
Sim

Visão geral

Canal de infecção: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Detalhes técnicos

Tipo de compactação: 3,954,062 bytes

Tipo de arquivo: EXE

Residente na memória: Sim

Data de recebimento das amostras iniciais: 08 agosto 2022

Carga útil: Connects to URLs/IPs, Modifies system registry, Drops files, Injects processes, Deletes files

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

%User Temp%\is-{Another Random Characters}.tmp → deleted afterwards
%User Temp%\is-{Random Characters}.tmp → deleted afterwards
%User Temp%\is-{Another Random Characters}.tmp\_isetup → deleted afterwards
%ProgramData%\MyGuard
%ProgramData%\MyGuard\Log
%ProgramData%\MyGuard\Log\Cryptor Plus
%Program Files%\CryptorPlus
%Common Programs%\Cryptor Plus
%System%\CPTEMP
%System%\CPTEMP\CryptorPlus → deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Schleust die folgenden Dateien ein:

%ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
%ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
%ProgramData%\MyGuard\SetupTmp.exe → originally dropped as %ProgramData%\MyGuard\SetupTmp.exe.tmp
%System%\is-{Random Characters}.tmp\SetupTmp.tmp → deleted afterwards
%User Temp%\is-{Another Random Characters}.tmp\_isetup\_RegDLL.tmp → deleted afterwards
%User Temp%\is-{Another Random Characters}.tmp\_isetup\_shfoldr.dll → deleted afterwards
%Program Files%\CryptorPlus\unins000.dat
%Program Files%\CryptorPlus\unins000.exe → originally dropped as %Program Files%\CryptorPlus\is-{Random Characters}.tmp
%System%\msvcr100.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\msvcp100.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ptrwide.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\fmsysotn.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\DeElev.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\elenon.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\MGCrypto.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\DrvOTInj32.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\DrvOTInj64.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\DllOTinj32V2.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ClipLDR32.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\DeShFile.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\GetOPath.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\GetOpath.sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\OpenList.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTAPI.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTAPI64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ClipOTPS.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ClipOTPS64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTCopy.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTCopy64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTPrn.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTPrn64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTPrev.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTPrev64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTFileHelper.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTFile.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\HKOTFile64.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ClipOTPrn.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsHKOT.Sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsHKOT64.sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsHKOTO.sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsHKOT64O.sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\FilesOTUse.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsOTN.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\ItlsinstdrvOT.exe → originally dropped as %System%\is-{Random Characters}.tmp
%System%\itlsNUOT.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\drivers\ItlsOTN.sys → originally dropped as %System%\is-{Random Characters}.tmp
%System%\URLGrab.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\MDIOTHook.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\miscfunc.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\AgentComMod.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\Exfn.dll → originally dropped as %System%\is-{Random Characters}.tmp
%System%\MgCryptoSHA.dll → originally dropped as %System%\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\CPManager.exe → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\Ionic.zip.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\MgNetLib.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\MgNetLog.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\Interop.SHDocVw.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\System.Net.Json.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\CPLng.Dat → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Program Files%\CryptroPlus\MyGuardTray.exe → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
%Common Programs%\Cryptor Plus\CPManager.lnk
%Common Programs%\Cryptor Plus\unins000.lnk

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Fügt die folgenden Prozesse hinzu:

"%ProgramData%\MyGuard\SetupTmp.exe" /Silent
"%User Temp%\is-{Random Characters}.tmp\SetupTmp.tmp" /SL5="${Random Numbers},{Random Numbers},{Random Numbers},%ProgramData%\MyGuard\SetupTmp.exe" /Silent
"cacls" "%ProgramData%\MyGuard" /T /C /E /P Everyone:F
"cacls" "%ProgramData%\CryptorPlus" /T /C /E /P Everyone:F
"%System%\instdrvOT.Exe"
"%Program Files%\CryptorPlus\CPManager.exe"
"%Program Files%\CryptorPlus\CPManager.exe" CPEXE
"%System%\ClipLDR32.exe "
"%Windows%\explorer.exe" %Program Files%\CryptorPlus\MyGuardTray.exe
"%System%\DrvOTInj32.Exe" LItlsHKOT/ITLSHKOT.sys/ItlsHKOT64.sys/HKOTAPI.DLL/HKOTAPI64.DLL/*/svchost.exe/

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

CPExe Check Mutex

Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

explorer.exe
other running Non-System Applications

Autostart-Technik

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
Altitude = 145600.4

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
Flags = 0

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
Type = 1

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
ErrorControl = 0

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
Start = 4

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
ImagePath = \??\%System%\ITLSHKOT.sys

HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
DefaultInstance = ItIsOTN Instance

Andere Systemänderungen

Löscht die folgenden Dateien:

%User Temp%\is-{Random Characters}.tmp\SetupTmp.tmp
%User Temp%\is-{Another Random Characters}.tmp\_isetup\_RegDLL.tmp
%User Temp%\is-{Another Random Characters}.tmp\_isetup\_shfoldr.dll

Löscht die folgenden Ordner:

%User Temp%\is-{Another Random Characters}.tmp\
%User Temp%\is-{Another Random Characters}.tmp\_isetup\
%System%\CPTEMP\CryptorPlus

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.cpd
" " = cpdfile

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cpdopen\
command
" " = %Program Files%\CryptorPlus\CPManager.exe %1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\msvcr100.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\msvcp100.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ptrwide.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\fmsysotn.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DeElev.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\elenon.dll = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MGCrypto.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DrvOTInj32.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DrvOTInj64.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DeShFile.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\GetOPath.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\GetOpath.sys = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\OpenList.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTAPI.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTAPI64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPS.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPS64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTCopy.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTCopy64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrn.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrn64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrev64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFileHelper.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFile.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFile64.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPrn.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT.Sys = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT64.Sys = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOTO.sys = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT64O.sys = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\FilesOTUse.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\URLGrab.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MDIOTHook.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MgCryptoSHA.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
Program Files%\CryptroPlus\CPManager.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Ionic.zip.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MgNetLib.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MgNetLog.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\System.Net.Json.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Cryptor PLUS
Templateever = 4.0.1.9

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: Setup Version = 5.2.3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
InstallLocation = %Program Files%\CryptorPlus\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: Icon Group = Cryptor Plus

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: User = {User name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
UninstallString = %Program Files%\CryptorPlus\unins000.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Publisher = INZENT, Inc.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
URLInfoAbout = http://www.inzent.com/

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
InstallDate = {Date Malware Installed}

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client
SetupTmpVersion = 4.0.1.9

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client
HKOTAPI.DLL = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\System.Net.Json.dll = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MyGuardTray.exe = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
Inno Setup: App Path = %Program Files%\CryptorPlus

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\ItlsHKOT

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\ItlsHKOT\Enum

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.cpd

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cdpopen

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cdpopen\
command

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Cryptor PLUS

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
OtherInfo

HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
OtherInfo\Injection

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyGuard CryptorPlus-Install-Unicode_is1

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

http://t2.{BLOCKED}b.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEHGgtzaV3bGvwjsrmhjuVMs%3D
http://tl.{BLOCKED}d.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSFBjxN%2BWY73bfUnSOp7HDKJ%2Fbx0wQUV4abVLi%2BpimK5PbC4hMYiYXN3LcCEEGrqHASLczL8h4qpdWGdb0%3D
http://t1.{BLOCKED}b.com/ThawtePCA.crl
http://t1.{BLOCKED}b.com/tl.crl

Es macht Folgendes:

It will only proceed with its routine if run as administrator.
It sends the gathered information to the following URL:
- http://cowork.{BLOCKED}m.com/cp/approval.do?mod=authUser&{Stolen Information}
The stolen infomations are:
- IP Address
- Mac Address
- Workgroup
- Work type
- Country/Language
- Computer Name
- User Name
- Executed Malware Filename
- Malware Execution Time
It displays the following during execution:

Solução

Mecanismo de varredura mínima: 9.800

Primeiro arquivo padrão VSAPI: 17.748.03

Data do lançamento do primeiro padrão VSAPI: 13 agosto 2022

VSAPI OPR Pattern Version: 17.748.04

VSAPI OPR Pattern veröffentlicht am: 14 agosto 2022

Step 2

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 4

Im abgesicherten Modus neu starten

[ Saber mais ]

Step 5

Im abgesicherten Modus neu starten und dann diesen Registrierungsschlüssel löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- DefaultInstance = ItIsOTN Instance
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- Altitude = 145600.4
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- Flags = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- Type = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- ErrorControl = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- Start = 4
In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- ImagePath = \??\%System%\ITLSHKOT.sys

Step 6

Diesen Registrierungswert löschen

[ Saber mais ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.cpd
- " " = cpdfile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\cpdopen\command
- " " = %Program Files%\CryptorPlus\CPManager.exe %1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\msvcr100.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\msvcp100.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ptrwide.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\fmsysotn.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DeElev.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\elenon.dll = 2
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MGCrypto.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DrvOTInj32.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DrvOTInj64.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DeShFile.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\GetOPath.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\GetOpath.sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\OpenList.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTAPI.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTAPI64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPS.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPS64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTCopy.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTCopy64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrn.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrn64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrev.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrev64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFileHelper.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFile.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFile64.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPrn.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT.Sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT64.Sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOTO.sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT64O.sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\FilesOTUse.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsOTN.sys = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\URLGrab.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MDIOTHook.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\Exfn.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MgCryptoSHA.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\CPManager.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Ionic.zip.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MgNetLib.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MgNetLog.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\System.Net.Json.dll = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\CPLng.Dat = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MyGuardTray.exe = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\MyGuard Cryptor PLUS
- Templateever = 4.0.1.9
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: Setup Version = 5.2.3
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: App Path = %Program Files%\CryptorPlus\
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- InstallLocation = %Program Files%\CryptorPlus\
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: Icon Group = Cryptor Plus
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: User = {User name}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- UninstallString = %Program Files%\CryptorPlus\unins000.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Publisher = INZENT, Inc.
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- URLInfoAbout = http://www.inzent.com/
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- NoModify = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- NoRepair = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- InstallDate = {Date Malware Installed}
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\MyGuard Client
- SetupTmpVersion = 4.0.1.9
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\OtherInfo\Injection
- HKOTAPI.DLL = 1

Den Registrierungswert löschen, den diese Malware/Grayware/Spyware erstellt hat:

Öffnen Sie den Registrierungs-Editor. Klicken Sie auf Start > Ausführen, geben Sie REGEDIT ein, und drücken Sie dann die Eingabetaste.
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.cpd
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
" " = cpdfile
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>cpdfile>shell>cpdopen>command
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
" " = %Program Files%\CryptorPlus\CPManager.exe %1
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>SharedDLLs
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\msvcr100.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\msvcp100.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ptrwide.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\fmsysotn.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\DeElev.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\elenon.dll = 2
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\MGCrypto.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\DrvOTInj32.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\DrvOTInj64.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\DeShFile.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\GetOPath.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\GetOpath.sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\OpenList.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTAPI.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTAPI64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ClipOTPS.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ClipOTPS64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTCopy.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTCopy64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTPrn.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTPrn64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTPrev.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTPrev64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTFileHelper.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTFile.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\HKOTFile64.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ClipOTPrn.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ItlsHKOT.Sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ItlsHKOT64.Sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ItlsHKOTO.sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ItlsHKOT64O.sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\FilesOTUse.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\ItlsOTN.sys = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\URLGrab.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\MDIOTHook.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\Exfn.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%System%\MgCryptoSHA.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\CPManager.exe = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\Ionic.zip.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\MgNetLib.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\MgNetLog.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\System.Net.Json.dll = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\CPLng.Dat = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
%Program Files%\CryptroPlus\MyGuardTray.exe = 1
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>ITM System>MyGuard Cryptor PLUS
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Templateever = 4.0.1.9
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall>MyGuard CryptorPlus-Install-Unicode_is1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Inno Setup: Setup Version = 5.2.3
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Inno Setup: App Path = %Program Files%\CryptorPlus\
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
InstallLocation = %Program Files%\CryptorPlus\
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Inno Setup: Icon Group = Cryptor Plus
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Inno Setup: User = {User name}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
UninstallString = %Program Files%\CryptorPlus\unins000.exe
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Publisher = INZENT, Inc.
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
URLInfoAbout = http://www.inzent.com/
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
NoModify = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
NoRepair = 1
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
InstallDate = {Date Malware Installed}
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>ITM System>MyGuard Client
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
SetupTmpVersion = 4.0.1.9
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>ITM System>OtherInfo>Injection
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
HKOTAPI.DLL = 1
Schließen Sie den Registrierungs-Editor.

Step 7

Diesen Registrierungsschlüssel löschen

[ Saber mais ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- .cpd
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\cdpopen\
- command
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\
- cdpopen
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\
- shell
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- cpdfile
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- MyGuard Client
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- MyGuard Cryptor PLUS
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\OtherInfo\
- Injection
In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- OtherInfo
In HKEY_LOCAL_MACHINE\SOFTWARE\
- ITM System
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
- MyGuard CryptorPlus-Install-Unicode_is1

Step 8

Diese Dateien suchen und löschen

[ Saber mais ]

Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.

%ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
%ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
%ProgramData%\MyGuard\SetupTmp.exe
%Program Files%\CryptorPlus\unins000.dat
%Program Files%\CryptorPlus\unins000.exe
%System%\msvcr100.dll
%System%\msvcp100.dll
%System%\ptrwide.dll
%System%\fmsysotn.exe
%System%\DeElev.exe
%System%\elenon.dll
%System%\MGCrypto.dll
%System%\DrvOTInj32.exe
%System%\DrvOTInj64.exe
%System%\DllOTinj32V2.exe
%System%\ClipLDR32.exe
%System%\DeShFile.dll
%System%\GetOPath.dll
%System%\GetOpath.sys
%System%\OpenList.exe
%System%\HKOTAPI.dll
%System%\HKOTAPI64.dll
%System%\ClipOTPS.dll
%System%\ClipOTPS64.dll
%System%\HKOTCopy.dll
%System%\HKOTCopy64.dll
%System%\HKOTPrn.dll
%System%\HKOTPrn64.dll
%System%\HKOTPrev.dll
%System%\HKOTPrev64.dll
%System%\HKOTFileHelper.dll
%System%\HKOTFile.dll
%System%\HKOTFile64.dll
%System%\ClipOTPrn.dll
%System%\ItlsHKOT.Sys
%System%\ItlsHKOT64.sys
%System%\ItlsHKOTO.sys
%System%\ItlsHKOT64O.sys
%System%\FilesOTUse.dll
%System%\ItlsOTN.dll
%System%\ItlsinstdrvOT.exe
%System%\itlsNUOT.dll
%System%\drivers\ItlsOTN.sys
%System%\URLGrab.dll
%System%\MDIOTHook.dll
%System%\miscfunc.dll
%System%\AgentComMod.dll
%System%\Exfn.dll
%System%\MgCryptoSHA.dll
%Program Files%\CryptroPlus\CPManager.exe
%Program Files%\CryptroPlus\Ionic.zip.dll
%Program Files%\CryptroPlus\MgNetLib.dll
%Program Files%\CryptroPlus\MgNetLog.dll
%Program Files%\CryptroPlus\Interop.SHDocVw.dll
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll
%Program Files%\CryptroPlus\System.Net.Json.dll
%Program Files%\CryptroPlus\CPLng.Dat
%Program Files%\CryptroPlus\MyGuardTray.exe
%Common Programs%\Cryptor Plus\CPManager.lnk
%Common Programs%\Cryptor Plus\unins000.lnk

DATA_GENERIC_FILENAME_1

Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.

Markieren Sie die gefundene Datei, und drücken Sie UMSCHALT+ENTF, um sie endgültig zu löschen.

Wiederholen Sie die Schritte 2 bis 4 für die übrigen Dateien: %ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
%ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
%ProgramData%\MyGuard\SetupTmp.exe
%Program Files%\CryptorPlus\unins000.dat
%Program Files%\CryptorPlus\unins000.exe
%System%\msvcr100.dll
%System%\msvcp100.dll
%System%\ptrwide.dll
%System%\fmsysotn.exe
%System%\DeElev.exe
%System%\elenon.dll
%System%\MGCrypto.dll
%System%\DrvOTInj32.exe
%System%\DrvOTInj64.exe
%System%\DllOTinj32V2.exe
%System%\ClipLDR32.exe
%System%\DeShFile.dll
%System%\GetOPath.dll
%System%\GetOpath.sys
%System%\OpenList.exe
%System%\HKOTAPI.dll
%System%\HKOTAPI64.dll
%System%\ClipOTPS.dll
%System%\ClipOTPS64.dll
%System%\HKOTCopy.dll
%System%\HKOTCopy64.dll
%System%\HKOTPrn.dll
%System%\HKOTPrn64.dll
%System%\HKOTPrev.dll
%System%\HKOTPrev64.dll
%System%\HKOTFileHelper.dll
%System%\HKOTFile.dll
%System%\HKOTFile64.dll
%System%\ClipOTPrn.dll
%System%\ItlsHKOT.Sys
%System%\ItlsHKOT64.sys
%System%\ItlsHKOTO.sys
%System%\ItlsHKOT64O.sys
%System%\FilesOTUse.dll
%System%\ItlsOTN.dll
%System%\ItlsinstdrvOT.exe
%System%\itlsNUOT.dll
%System%\drivers\ItlsOTN.sys
%System%\URLGrab.dll
%System%\MDIOTHook.dll
%System%\miscfunc.dll
%System%\AgentComMod.dll
%System%\Exfn.dll
%System%\MgCryptoSHA.dll
%Program Files%\CryptroPlus\CPManager.exe
%Program Files%\CryptroPlus\Ionic.zip.dll
%Program Files%\CryptroPlus\MgNetLib.dll
%Program Files%\CryptroPlus\MgNetLog.dll
%Program Files%\CryptroPlus\Interop.SHDocVw.dll
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll
%Program Files%\CryptroPlus\System.Net.Json.dll
%Program Files%\CryptroPlus\CPLng.Dat
%Program Files%\CryptroPlus\MyGuardTray.exe
%Common Programs%\Cryptor Plus\CPManager.lnk
%Common Programs%\Cryptor Plus\unins000.lnk

Step 9

Diese Ordner suchen und löschen

[ Saber mais ]

Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.

%ProgramData%\MyGuard\Log\Cryptor Plus
%ProgramData%\MyGuard\Log
%ProgramData%\MyGuard
%Program Files%\CryptorPlus
%Common Programs%\Cryptor Plus
%System%\CPTEMP

Step 10

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Trojan.Win32.INJECTOR.EPLCRM entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Step 11

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Trojan.Win32.INJECTOR.EPLCRM entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Participe da nossa pesquisa!

Trojan.Win32.INJECTOR.EPLCRM

Visão geral

Detalhes técnicos

Solução

Recursos

Suporte

Sobre a Trend

Country Headquarters

Trojan.Win32.INJECTOR.EPLCRM

Visão geral

Detalhes técnicos

Solução

Recursos

Suporte

Sobre a Trend

Country Headquarters

Américas

Oriente Médio & África

Europa

Ásia&Pacífico