PE_MEWSPY.A
Windows
Malware-Typ:
File infector
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja
Überblick
Technische Details
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:
- %Application Data%\{random folder name 1}\{random file name 1}.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Dateien ein:
- %Application Data%\{random folder name 1}\{random file name 2}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random file name 3}
- %Application Data%\{random folder name 1}\{random folder name 2}\{random file name 4.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 2}\{random file name 5}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 2}\{random file name 6}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random file name 7}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random file name 8}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random file name 9}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random file name 10}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 4}\{random file name 11}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 5}\{random file name 12}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 5}\{random file name 13}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 5}\{random file name 14}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 15}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 16}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 17}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 18}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 19}.{random 3 letter extension}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}\{random file name 20}.{random 3 letter extension}
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Erstellt die folgenden Ordner:
- %Application Data%\{random folder name 1}
- %Application Data%\{random folder name 1}\{random folder name 2}
- %Application Data%\{random folder name 1}\{random folder name 3}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 4}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 5}
- %Application Data%\{random folder name 1}\{random folder name 3}\{random folder name 6}
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_USERS\{SID}_CLASSES\{random key1}\
shell\open\command
(empty) = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key1}\
shell\open\command
IsolatedCommand = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key1}\
shell\open\command
(empty) = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /RUNAS /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key1}\
shell\open\command
IsolatedCommand = ""%Application Data%\{random folder name 1}\{randome file name 1}.exe" /RUNAS /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key2}\
shell\open\command
(empty) = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key2}\
shell\open\command
IsolatedCommand = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key2}\
shell\open\command
(empty) = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key2}\
shell\open\command
IsolatedCommand = ""%Application Data%\{random folder name 1}\{random file name 1}.exe" /RUNAS /START "%1" %*"
HKEY_USERS\{SID}_CLASSES\{random key2}\
shell\open\command
(empty) = "{00021401-0000-0000-C000-000000000046}"
HKEY_USERS\{SID}_CLASSES\.lnk
(empty) = "{random key2}"
Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:
HKEY_USERS\{SID}_CLASSES\{random key1}
HKEY_USERS\{SID}_CLASSES\{random key2}
Lösungen
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_USERS\{SID}_CLASSES\.lnk
- (empty) = "{random key2}"
- (empty) = "{random key2}"
Step 5
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als PE_MEWSPY.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Nehmen Sie an unserer Umfrage teil