IRC_RENAMED.H

Publish date: 18 de junio de 2013

Alias

IRC.Backdoor.Trojan (Symantec); Client-IRC.Win32.mIRC.602 (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan horse Generic13.QFH (AVG)

Plataforma:

Windows 2000, Windows XP, Windows Server 2003

Riesgo general:

Potencial de destrucción:

Potencial de distribución:

Infección divulgada:

Bajo

Medio

High

Crítico

Tipo de malware
Trojan
Destructivo?
No
Cifrado
In the Wild:
Sí

Resumen y descripción

Detalles técnicos

Tamaño del archivo 1,765,888 bytes

Tipo de archivo EXE

Residente en memoria No

Fecha de recepción de las muestras iniciales 15 junio 2013

Instalación

Crea las carpetas siguientes:

%System Root%\logs
%System Root%\sounds
%System Root%\download

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\mIRC

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC

HKEY_CLASSES_ROOT\.cha

HKEY_CLASSES_ROOT\.chat

HKEY_CLASSES_ROOT\ChatFile

HKEY_CLASSES_ROOT\ChatFile\DefaultIcon

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\command

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Application

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\ifexec

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Topic

HKEY_LOCAL_MACHINE\Software\Classes\
irc

HKEY_LOCAL_MACHINE\Software\Classes\
irc\DefaultIcon

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
command

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Application

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\ifexec

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Topic

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\mIRC
DateUsed = "1371184153"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
DisplayName = "mIRC"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
UninstallString = "{malware path and file name} -uninstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
irc
EditFlags = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
VoiceEnabled = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseVoiceTips = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
KeyHoldHotKey = "91"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBeepSRPrompt = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRTimerDelay = "7d"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRModeID = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
EnableSpeaking = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBalloon = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseCharacterFont = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseSoundEffects = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SpeakingSpeed = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetX = "f423f"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetY = "f423f"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetWidth = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetHeight = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetPage = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLeft = "ffffffff"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowTop = "ffffffff"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowWidth = "c8"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowHeight = "c8"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLocationSet = "0"

Soluciones

Motor de exploración mínimo 9.300

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Eliminar esta clave del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_CURRENT_USER\Software
- mIRC

In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
- mIRC

In HKEY_CLASSES_ROOT
- .cha

In HKEY_CLASSES_ROOT
- .chat

In HKEY_CLASSES_ROOT
- ChatFile

In HKEY_CLASSES_ROOT\ChatFile
- DefaultIcon

In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- command

In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- ddeexec

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Application

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- ifexec

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Topic

In HKEY_LOCAL_MACHINE\Software\Classes
- irc

In HKEY_LOCAL_MACHINE\Software\Classes\irc
- DefaultIcon

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- command

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- ddeexec

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Application

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- ifexec

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Topic

In HKEY_CURRENT_USER\Software\Microsoft
- Microsoft Agent

Para eliminar la clave del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software
También en el panel izquierdo, busque y elimine la clave:
mIRC
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Uninstall
También en el panel izquierdo, busque y elimine la clave:
mIRC
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT
También en el panel izquierdo, busque y elimine la clave:
.cha
También en el panel izquierdo, busque y elimine la clave:
.chat
También en el panel izquierdo, busque y elimine la clave:
ChatFile
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile>Shell>open
También en el panel izquierdo, busque y elimine la clave:
command
También en el panel izquierdo, busque y elimine la clave:
ddeexec
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile>Shell>open>ddeexec
También en el panel izquierdo, busque y elimine la clave:
Application
También en el panel izquierdo, busque y elimine la clave:
ifexec
También en el panel izquierdo, busque y elimine la clave:
Topic
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes
También en el panel izquierdo, busque y elimine la clave:
irc
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc>Shell>open
También en el panel izquierdo, busque y elimine la clave:
command
También en el panel izquierdo, busque y elimine la clave:
ddeexec
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc>Shell>open>ddeexec
También en el panel izquierdo, busque y elimine la clave:
Application
También en el panel izquierdo, busque y elimine la clave:
ifexec
También en el panel izquierdo, busque y elimine la clave:
Topic
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft
También en el panel izquierdo, busque y elimine la clave:
Microsoft Agent
Cierre el Editor del Registro.

Step 3

Eliminar este valor del Registro

[ aprenda más ]

In HKEY_CURRENT_USER\Software\mIRC
- DateUsed = "1371184153"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- DisplayName = "mIRC"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- UninstallString = "{malware path and file name} -uninstall"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\irc
- EditFlags = "{random values}"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- VoiceEnabled = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseVoiceTips = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- KeyHoldHotKey = "91"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBeepSRPrompt = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRTimerDelay = "7d"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRModeID = "{random values}"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- EnableSpeaking = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBalloon = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseCharacterFont = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseSoundEffects = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SpeakingSpeed = "5"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetX = "f423f"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetY = "f423f"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetWidth = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetHeight = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetPage = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLeft = "ffffffff"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowTop = "ffffffff"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowWidth = "c8"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowHeight = "c8"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLocationSet = "0"

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>mIRC
En el panel derecho, busque y elimine la entrada:
DateUsed = "1371184153"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall>mIRC
En el panel derecho, busque y elimine la entrada:
DisplayName = "mIRC"
En el panel derecho, busque y elimine la entrada:
UninstallString = "{malware path and file name} -uninstall"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>irc
En el panel derecho, busque y elimine la entrada:
EditFlags = "{random values}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Microsoft Agent
En el panel derecho, busque y elimine la entrada:
VoiceEnabled = "1"
En el panel derecho, busque y elimine la entrada:
UseVoiceTips = "1"
En el panel derecho, busque y elimine la entrada:
KeyHoldHotKey = "91"
En el panel derecho, busque y elimine la entrada:
UseBeepSRPrompt = "1"
En el panel derecho, busque y elimine la entrada:
SRTimerDelay = "7d"
En el panel derecho, busque y elimine la entrada:
SRModeID = "{random values}"
En el panel derecho, busque y elimine la entrada:
EnableSpeaking = "1"
En el panel derecho, busque y elimine la entrada:
UseBalloon = "1"
En el panel derecho, busque y elimine la entrada:
UseCharacterFont = "1"
En el panel derecho, busque y elimine la entrada:
UseSoundEffects = "1"
En el panel derecho, busque y elimine la entrada:
SpeakingSpeed = "5"
En el panel derecho, busque y elimine la entrada:
PropertySheetX = "f423f"
En el panel derecho, busque y elimine la entrada:
PropertySheetY = "f423f"
En el panel derecho, busque y elimine la entrada:
PropertySheetWidth = "0"
En el panel derecho, busque y elimine la entrada:
PropertySheetHeight = "0"
En el panel derecho, busque y elimine la entrada:
PropertySheetPage = "0"
En el panel derecho, busque y elimine la entrada:
CommandsWindowLeft = "ffffffff"
En el panel derecho, busque y elimine la entrada:
CommandsWindowTop = "ffffffff"
En el panel derecho, busque y elimine la entrada:
CommandsWindowWidth = "c8"
En el panel derecho, busque y elimine la entrada:
CommandsWindowHeight = "c8"
En el panel derecho, busque y elimine la entrada:
CommandsWindowLocationSet = "0"
Cierre el Editor del Registro.

Step 4

Buscar y eliminar estas carpetas

[ aprenda más ]

Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.

%System Root%\logs
%System Root%\sounds
%System Root%\download

Step 5

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como IRC_RENAMED.H En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!

IRC_RENAMED.H

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

IRC_RENAMED.H

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

América

Oriente Medio y África

Europa

Asia-Pacífico