PUA.Win32.PluginManager.E.component

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\{Random Characters}.tmp
• %System%\PluginManager
• %Program Files%\SignTool

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\{Random Characters}.tmp\processwork.dll
• %System%\PluginManager\SignToolSetup.exe
• %System%\PluginManager\PluginSetup.exe
• %System%\PluginManager\Plugin.exe
• %System%\PluginManager\MPlugin.exe
• %System%\PluginManager\uninst.exe
• %User Temp%\{Random Characters}.tmp\ExecCmd.dll
• %Program Files%\SignTool\SignTool.exe
• %Program Files%\SignTool\CTptkcs.dll
• %Program Files%\SignTool\JsDevInfoDll.dll
• %Program Files%\SignTool\libeay32.dll
• %Program Files%\SignTool\libp11.dll
• %Program Files%\SignTool\libcurl.dll
• %Program Files%\SignTool\QRGenerator.dll
• %Program Files%\SignTool\SSLeay32.dll
• %Program Files%\SignTool\help.pdf
• %Program Files%\SignTool\uninst.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• "%System%\PluginManager\PluginSetup.exe" /S _?=C:\Windows\system32\PluginManager
• %System%\PluginManager\Plugin.exe -i
• %System%\PluginManager\MPlugin.exe -i
• %System%\PluginManager\Plugin.exe -start
• %System%\PluginManager\MPlugin.exe -start
• "%System%\PluginManager\SignToolSetup.exe" /S _?=C:\Windows\system32\PluginManager
• %System%\cmd.exe /C taskkill /F /IM SignTool.exe
• taskkill /F /IM SignTool.exe
• "%Program Files%\SignTool\SignTool.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SignTool = %Program Files%\SignTool\SignTool.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\{Random Characters}.tmp
• %User Temp%\{Random Characters}.tmp\processwork.dll
• %User Temp%\{Random Characters}.tmp\ExecCmd.dll
• %System%\PluginManager\PluginSetup.exe
• %System%\PluginManager\SignToolSetup.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
Version = ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
Path = %Program Files%\SignTool\SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
server = http://ec.i-xinnuo.com

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
port = 54355

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO
signon = {Default}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
SignTool.exe
{Default} = %Program Files%\SignTool\SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayName = ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨ ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
UninstallString = %Program Files%\SignTool\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayIcon = %Program Files%\SignTool\SingTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayVersion = ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
URLInfoAbout = http://www.i-xinnuo.com

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
Publisher = ${PRODUCT_PUBLISHER}

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\eventlog\Application\
Plugin

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\eventlog\Application\
MPlugin

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Plugin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
²å¼þ¹ÜÀíÈí¼þ

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL\contract

It connects to the following possibly malicious URL:

• http://ec.{BLOCKED}o.com/e-contract/checkin/first