Trojan.Win32.DAPATO.AK

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Installation

Fügt die folgenden Prozesse hinzu:

• %User Temp%\RarSFX0\update_service.exe -install
• %User Temp%\RarSFX0\service_monitor.exe -install "Aisino Deamon Services"
• %Application Data%\Nuoabaifegbf.exe
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %System%\svchost.exe -k WerSvcGroup

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Erstellt die folgenden Ordner:

• %User Profile%\AppData
• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
• %System Root%\Users
• %User Temp%\RarSFX0

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
ImagePath = "%Application Data%\Nuoabaifiich.exe -svc Aisino Deamon Services"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Nuo Update Monitor
ImagePath = "%Application Data%\Nuoabaifegbf.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Rpc Monitor
ImagePath = "%Application Data%\Nuoabaifiich.exe -svc Aisino Deamon Services"

Andere Systemänderungen

Löscht die folgenden Dateien:

• %Windows%\LastGood.Tmp

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
NuoYan

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
NuoYan
update_service = "%System Root%"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
DisplayName = "Rpc Monitor"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
WOW64 = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Rpc Monitor
Description = "\xe5\x85\xb3\xe9\x94\xae\xe6\x9c\x8d\xe5\x8a\xa1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
NuoYan
service_monitor = "%System Root%"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Nuo Update Monitor
DisplayName = "Nuo Update Monitor"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Nuo Update Monitor
Start = "SERVICE_AUTO_START"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Rpc Monitor
DisplayName = "Rpc Monitor"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Rpc Monitor
Start = "SERVICE_AUTO_START"

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Application Data%\Nuoabaifegbf.exe
• %User Temp%\RarSFX0\update_service.exe
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %User Temp%\RarSFX0\service_monitor.exe
• %Application Data%\Nuoabaifiich.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)