TROJ_FLOOD.IR

Tamaño del archivo 715,788 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 03 julio 2012

Instalación

Crea las carpetas siguientes:

%System%\onefanm
%System%\onefanm\logs
%System%\onefanm\sounds

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
sxpzoolkxd = "%System%\onefanm\f1ght.exe %System%\onefanm\dirote.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\mIRC

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC

HKEY_CLASSES_ROOT\.cha

HKEY_CLASSES_ROOT\.chat

HKEY_CLASSES_ROOT\ChatFile

HKEY_CLASSES_ROOT\ChatFile\DefaultIcon

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\command

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Application

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\ifexec

HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Topic

HKEY_LOCAL_MACHINE\Software\Classes\
irc

HKEY_LOCAL_MACHINE\Software\Classes\
irc\DefaultIcon

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
command

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Application

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\ifexec

HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Topic

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\mIRC
DateUsed = "1324714786"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
DisplayName = "mIRC"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
UninstallString = "%System%\onefanm\dirote.exe -uninstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
irc
EditFlags = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
VoiceEnabled = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseVoiceTips = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
KeyHoldHotKey = "91"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBeepSRPrompt = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRTimerDelay = "7d"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRModeID = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
EnableSpeaking = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBalloon = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseCharacterFont = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseSoundEffects = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SpeakingSpeed = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetX = "f423f"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetY = "f423f"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetWidth = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetHeight = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetPage = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLeft = "ffffffff"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowTop = "ffffffff"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowWidth = "c8"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowHeight = "c8"

HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLocationSet = "0"

Rutina de infiltración

Infiltra los archivos siguientes:

%User Temp%\GS1.tmp
%System%\onefanm\rx
%System%\onefanm\xsiger.bat

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Motor de exploración mínimo 9.200

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ aprenda más ]

Step 3

Eliminar esta clave del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_CURRENT_USER\Software
- mIRC

In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
- mIRC

In HKEY_CLASSES_ROOT
- .cha

In HKEY_CLASSES_ROOT
- .chat

In HKEY_CLASSES_ROOT
- ChatFile

In HKEY_CLASSES_ROOT\ChatFile
- DefaultIcon

In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- command

In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- ddeexec

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Application

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- ifexec

In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Topic

In HKEY_LOCAL_MACHINE\Software\Classes
- irc

In HKEY_LOCAL_MACHINE\Software\Classes\irc
- DefaultIcon

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- command

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- ddeexec

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Application

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- ifexec

In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Topic

In HKEY_CURRENT_USER\Software\Microsoft
- Microsoft Agent

Para eliminar la clave del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software
También en el panel izquierdo, busque y elimine la clave:
mIRC
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Uninstall
También en el panel izquierdo, busque y elimine la clave:
mIRC
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT
También en el panel izquierdo, busque y elimine la clave:
.cha
También en el panel izquierdo, busque y elimine la clave:
.chat
También en el panel izquierdo, busque y elimine la clave:
ChatFile
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile>Shell>open
También en el panel izquierdo, busque y elimine la clave:
command
También en el panel izquierdo, busque y elimine la clave:
ddeexec
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>ChatFile>Shell>open>ddeexec
También en el panel izquierdo, busque y elimine la clave:
Application
También en el panel izquierdo, busque y elimine la clave:
ifexec
También en el panel izquierdo, busque y elimine la clave:
Topic
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes
También en el panel izquierdo, busque y elimine la clave:
irc
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc>Shell>open
También en el panel izquierdo, busque y elimine la clave:
command
También en el panel izquierdo, busque y elimine la clave:
ddeexec
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>Software>Classes>irc>Shell>open>ddeexec
También en el panel izquierdo, busque y elimine la clave:
Application
También en el panel izquierdo, busque y elimine la clave:
ifexec
También en el panel izquierdo, busque y elimine la clave:
Topic
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft
También en el panel izquierdo, busque y elimine la clave:
Microsoft Agent
Cierre el Editor del Registro.

Step 4

Eliminar este valor del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- sxpzoolkxd = "%System%\onefanm\f1ght.exe %System%\onefanm\dirote.exe"

In HKEY_CURRENT_USER\Software\mIRC
- DateUsed = "1324714786"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- DisplayName = "mIRC"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- UninstallString = "%System%\onefanm\dirote.exe -uninstall"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\irc
- EditFlags = "{random values}"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- VoiceEnabled = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseVoiceTips = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- KeyHoldHotKey = "91"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBeepSRPrompt = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRTimerDelay = "7d"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRModeID = "{random values}"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- EnableSpeaking = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBalloon = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseCharacterFont = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseSoundEffects = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SpeakingSpeed = "5"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetX = "f423f"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetY = "f423f"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetWidth = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetHeight = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetPage = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLeft = "ffffffff"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowTop = "ffffffff"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowWidth = "c8"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowHeight = "c8"

In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLocationSet = "0"

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
En el panel derecho, busque y elimine la entrada:
sxpzoolkxd = "%System%\onefanm\f1ght.exe %System%\onefanm\dirote.exe"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>mIRC
En el panel derecho, busque y elimine la entrada:
DateUsed = "1324714786"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall>mIRC
En el panel derecho, busque y elimine la entrada:
DisplayName = "mIRC"
En el panel derecho, busque y elimine la entrada:
UninstallString = "%System%\onefanm\dirote.exe -uninstall"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>irc
En el panel derecho, busque y elimine la entrada:
EditFlags = "{random values}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Microsoft Agent
En el panel derecho, busque y elimine la entrada:
VoiceEnabled = "1"
En el panel derecho, busque y elimine la entrada:
UseVoiceTips = "1"
En el panel derecho, busque y elimine la entrada:
KeyHoldHotKey = "91"
En el panel derecho, busque y elimine la entrada:
UseBeepSRPrompt = "1"
En el panel derecho, busque y elimine la entrada:
SRTimerDelay = "7d"
En el panel derecho, busque y elimine la entrada:
SRModeID = "{random values}"
En el panel derecho, busque y elimine la entrada:
EnableSpeaking = "1"
En el panel derecho, busque y elimine la entrada:
UseBalloon = "1"
En el panel derecho, busque y elimine la entrada:
UseCharacterFont = "1"
En el panel derecho, busque y elimine la entrada:
UseSoundEffects = "1"
En el panel derecho, busque y elimine la entrada:
SpeakingSpeed = "5"
En el panel derecho, busque y elimine la entrada:
PropertySheetX = "f423f"
En el panel derecho, busque y elimine la entrada:
PropertySheetY = "f423f"
En el panel derecho, busque y elimine la entrada:
PropertySheetWidth = "0"
En el panel derecho, busque y elimine la entrada:
PropertySheetHeight = "0"
En el panel derecho, busque y elimine la entrada:
PropertySheetPage = "0"
En el panel derecho, busque y elimine la entrada:
CommandsWindowLeft = "ffffffff"
En el panel derecho, busque y elimine la entrada:
CommandsWindowTop = "ffffffff"
En el panel derecho, busque y elimine la entrada:
CommandsWindowWidth = "c8"
En el panel derecho, busque y elimine la entrada:
CommandsWindowHeight = "c8"
En el panel derecho, busque y elimine la entrada:
CommandsWindowLocationSet = "0"
Cierre el Editor del Registro.

Step 5

Buscar y eliminar estos archivos

[ aprenda más ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

%User Temp%\GS1.tmp
%System%\onefanm\rx
%System%\onefanm\xsiger.bat

Step 6

Buscar y eliminar estas carpetas

[ aprenda más ]

Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.

%System%\onefanm
%System%\onefanm\logs
%System%\onefanm\sounds

Step 7

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como TROJ_FLOOD.IR En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

TROJ_FLOOD.IR

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

América

Oriente Medio y África

Europa

Asia-Pacífico