Trojan.Win32.INJECTOR.EPLCRM
Trojan.PSW.Maran (IKARUS)
Windows
Type de grayware:
Trojan
Destructif:
Non
Chiffrement:
Non
In the wild::
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.
Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.
Détails techniques
Übertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Fügt die folgenden Ordner hinzu:
- %User Temp%\is-{Another Random Characters}.tmp → deleted afterwards
- %User Temp%\is-{Random Characters}.tmp → deleted afterwards
- %User Temp%\is-{Another Random Characters}.tmp\_isetup → deleted afterwards
- %ProgramData%\MyGuard
- %ProgramData%\MyGuard\Log
- %ProgramData%\MyGuard\Log\Cryptor Plus
- %Program Files%\CryptorPlus
- %Common Programs%\Cryptor Plus
- %System%\CPTEMP
- %System%\CPTEMP\CryptorPlus → deleted afterwards
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)
Schleust die folgenden Dateien ein:
- %ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
- %ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
- %ProgramData%\MyGuard\SetupTmp.exe → originally dropped as %ProgramData%\MyGuard\SetupTmp.exe.tmp
- %System%\is-{Random Characters}.tmp\SetupTmp.tmp → deleted afterwards
- %User Temp%\is-{Another Random Characters}.tmp\_isetup\_RegDLL.tmp → deleted afterwards
- %User Temp%\is-{Another Random Characters}.tmp\_isetup\_shfoldr.dll → deleted afterwards
- %Program Files%\CryptorPlus\unins000.dat
- %Program Files%\CryptorPlus\unins000.exe → originally dropped as %Program Files%\CryptorPlus\is-{Random Characters}.tmp
- %System%\msvcr100.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\msvcp100.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ptrwide.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\fmsysotn.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\DeElev.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\elenon.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\MGCrypto.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\DrvOTInj32.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\DrvOTInj64.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\DllOTinj32V2.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ClipLDR32.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\DeShFile.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\GetOPath.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\GetOpath.sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\OpenList.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTAPI.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTAPI64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ClipOTPS.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ClipOTPS64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTCopy.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTCopy64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTPrn.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTPrn64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTPrev.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTPrev64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTFileHelper.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTFile.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\HKOTFile64.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ClipOTPrn.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsHKOT.Sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsHKOT64.sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsHKOTO.sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsHKOT64O.sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\FilesOTUse.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsOTN.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\ItlsinstdrvOT.exe → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\itlsNUOT.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\drivers\ItlsOTN.sys → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\URLGrab.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\MDIOTHook.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\miscfunc.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\AgentComMod.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\Exfn.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %System%\MgCryptoSHA.dll → originally dropped as %System%\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\CPManager.exe → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\Ionic.zip.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\MgNetLib.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\MgNetLog.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\System.Net.Json.dll → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\CPLng.Dat → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Program Files%\CryptroPlus\MyGuardTray.exe → originally dropped as %Program Files%\CryptroPlus\is-{Random Characters}.tmp
- %Common Programs%\Cryptor Plus\CPManager.lnk
- %Common Programs%\Cryptor Plus\unins000.lnk
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)
Fügt die folgenden Prozesse hinzu:
- "%ProgramData%\MyGuard\SetupTmp.exe" /Silent
- "%User Temp%\is-{Random Characters}.tmp\SetupTmp.tmp" /SL5="${Random Numbers},{Random Numbers},{Random Numbers},%ProgramData%\MyGuard\SetupTmp.exe" /Silent
- "cacls" "%ProgramData%\MyGuard" /T /C /E /P Everyone:F
- "cacls" "%ProgramData%\CryptorPlus" /T /C /E /P Everyone:F
- "%System%\instdrvOT.Exe"
- "%Program Files%\CryptorPlus\CPManager.exe"
- "%Program Files%\CryptorPlus\CPManager.exe" CPEXE
- "%System%\ClipLDR32.exe "
- "%Windows%\explorer.exe" %Program Files%\CryptorPlus\MyGuardTray.exe
- "%System%\DrvOTInj32.Exe" LItlsHKOT/ITLSHKOT.sys/ItlsHKOT64.sys/HKOTAPI.DLL/HKOTAPI64.DLL/*/svchost.exe/
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- CPExe Check Mutex
Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:
- explorer.exe
- other running Non-System Applications
Autostart-Technik
Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
Altitude = 145600.4
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
Flags = 0
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
Type = 1
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
ErrorControl = 0
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
Start = 4
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsHKOT
ImagePath = \??\%System%\ITLSHKOT.sys
HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\
services\ItlsOTN\Instances
DefaultInstance = ItIsOTN Instance
Andere Systemänderungen
Löscht die folgenden Dateien:
- %User Temp%\is-{Random Characters}.tmp\SetupTmp.tmp
- %User Temp%\is-{Another Random Characters}.tmp\_isetup\_RegDLL.tmp
- %User Temp%\is-{Another Random Characters}.tmp\_isetup\_shfoldr.dll
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)
Löscht die folgenden Ordner:
- %User Temp%\is-{Another Random Characters}.tmp\
- %User Temp%\is-{Another Random Characters}.tmp\_isetup\
- %System%\CPTEMP\CryptorPlus
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.cpd
" " = cpdfile
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cpdopen\
command
" " = %Program Files%\CryptorPlus\CPManager.exe %1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\msvcr100.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\msvcp100.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ptrwide.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\fmsysotn.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DeElev.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\elenon.dll = 2
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MGCrypto.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DrvOTInj32.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DrvOTInj64.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\DeShFile.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\GetOPath.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\GetOpath.sys = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\OpenList.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTAPI.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTAPI64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPS.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPS64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTCopy.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTCopy64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrn.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrn64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrn64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTPrev64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFileHelper.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFile.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\HKOTFile64.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ClipOTPrn.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT.Sys = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT64.Sys = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOTO.sys = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\ItlsHKOT64O.sys = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\FilesOTUse.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\FilesOTUse.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\URLGrab.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MDIOTHook.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MDIOTHook.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%System%\MgCryptoSHA.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
Program Files%\CryptroPlus\CPManager.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Ionic.zip.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MgNetLib.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MgNetLog.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\System.Net.Json.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Cryptor PLUS
Templateever = 4.0.1.9
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: Setup Version = 5.2.3
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
InstallLocation = %Program Files%\CryptorPlus\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: Icon Group = Cryptor Plus
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Inno Setup: User = {User name}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
UninstallString = %Program Files%\CryptorPlus\unins000.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
Publisher = INZENT, Inc.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
URLInfoAbout = http://www.inzent.com/
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
NoModify = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
NoRepair = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall
InstallDate = {Date Malware Installed}
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client
SetupTmpVersion = 4.0.1.9
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client
HKOTAPI.DLL = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\System.Net.Json.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
%Program Files%\CryptroPlus\MyGuardTray.exe = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\SharedDLLs
Inno Setup: App Path = %Program Files%\CryptorPlus
Löscht die folgenden Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\ItlsHKOT
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\ItlsHKOT\Enum
Andere Details
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.cpd
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cdpopen
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
cpdfile\shell\cdpopen\
command
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Client
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
MyGuard Cryptor PLUS
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
OtherInfo
HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
OtherInfo\Injection
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyGuard CryptorPlus-Install-Unicode_is1
Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:
- http://t2.{BLOCKED}b.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEHGgtzaV3bGvwjsrmhjuVMs%3D
- http://tl.{BLOCKED}d.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSFBjxN%2BWY73bfUnSOp7HDKJ%2Fbx0wQUV4abVLi%2BpimK5PbC4hMYiYXN3LcCEEGrqHASLczL8h4qpdWGdb0%3D
- http://t1.{BLOCKED}b.com/ThawtePCA.crl
- http://t1.{BLOCKED}b.com/tl.crl
Es macht Folgendes:
- It will only proceed with its routine if run as administrator.
- It sends the gathered information to the following URL:
- http://cowork.{BLOCKED}m.com/cp/approval.do?mod=authUser&{Stolen Information}
- IP Address
- Mac Address
- Workgroup
- Work type
- Country/Language
- Computer Name
- User Name
- Executed Malware Filename
- Malware Execution Time
- It displays the following during execution:
Solutions
Step 2
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Im abgesicherten Modus neu starten
Step 5
Im abgesicherten Modus neu starten und dann diesen Registrierungsschlüssel löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- DefaultInstance = ItIsOTN Instance
- DefaultInstance = ItIsOTN Instance
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- Altitude = 145600.4
- Altitude = 145600.4
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsOTN\Instances
- Flags = 0
- Flags = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- Type = 1
- Type = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- ErrorControl = 0
- ErrorControl = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- Start = 4
- Start = 4
- In HKEY_LOCAL_MACHINE\SOFTWARE\ControlSet001\services\ItlsHKOT
- ImagePath = \??\%System%\ITLSHKOT.sys
- ImagePath = \??\%System%\ITLSHKOT.sys
Step 6
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.cpd
- " " = cpdfile
- " " = cpdfile
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\cpdopen\command
- " " = %Program Files%\CryptorPlus\CPManager.exe %1
- " " = %Program Files%\CryptorPlus\CPManager.exe %1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\msvcr100.dll = 1
- %System%\msvcr100.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\msvcp100.dll = 1
- %System%\msvcp100.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ptrwide.dll = 1
- %System%\ptrwide.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\fmsysotn.exe = 1
- %System%\fmsysotn.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DeElev.exe = 1
- %System%\DeElev.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\elenon.dll = 2
- %System%\elenon.dll = 2
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MGCrypto.dll = 1
- %System%\MGCrypto.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DrvOTInj32.exe = 1
- %System%\DrvOTInj32.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DrvOTInj64.exe = 1
- %System%\DrvOTInj64.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\DeShFile.dll = 1
- %System%\DeShFile.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\GetOPath.dll = 1
- %System%\GetOPath.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\GetOpath.sys = 1
- %System%\GetOpath.sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\OpenList.exe = 1
- %System%\OpenList.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTAPI.dll = 1
- %System%\HKOTAPI.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTAPI64.dll = 1
- %System%\HKOTAPI64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPS.dll = 1
- %System%\ClipOTPS.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPS64.dll = 1
- %System%\ClipOTPS64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTCopy.dll = 1
- %System%\HKOTCopy.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTCopy64.dll = 1
- %System%\HKOTCopy64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrn.dll = 1
- %System%\HKOTPrn.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrn64.dll = 1
- %System%\HKOTPrn64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrev.dll = 1
- %System%\HKOTPrev.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTPrev64.dll = 1
- %System%\HKOTPrev64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFileHelper.dll = 1
- %System%\HKOTFileHelper.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFile.dll = 1
- %System%\HKOTFile.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\HKOTFile64.dll = 1
- %System%\HKOTFile64.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ClipOTPrn.dll = 1
- %System%\ClipOTPrn.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT.Sys = 1
- %System%\ItlsHKOT.Sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT64.Sys = 1
- %System%\ItlsHKOT64.Sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOTO.sys = 1
- %System%\ItlsHKOTO.sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsHKOT64O.sys = 1
- %System%\ItlsHKOT64O.sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\FilesOTUse.dll = 1
- %System%\FilesOTUse.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\ItlsOTN.sys = 1
- %System%\ItlsOTN.sys = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\URLGrab.dll = 1
- %System%\URLGrab.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MDIOTHook.dll = 1
- %System%\MDIOTHook.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\Exfn.dll = 1
- %System%\Exfn.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %System%\MgCryptoSHA.dll = 1
- %System%\MgCryptoSHA.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\CPManager.exe = 1
- %Program Files%\CryptroPlus\CPManager.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Ionic.zip.dll = 1
- %Program Files%\CryptroPlus\Ionic.zip.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MgNetLib.dll = 1
- %Program Files%\CryptroPlus\MgNetLib.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MgNetLog.dll = 1
- %Program Files%\CryptroPlus\MgNetLog.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\System.Net.Json.dll = 1
- %Program Files%\CryptroPlus\System.Net.Json.dll = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\CPLng.Dat = 1
- %Program Files%\CryptroPlus\CPLng.Dat = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
- %Program Files%\CryptroPlus\MyGuardTray.exe = 1
- %Program Files%\CryptroPlus\MyGuardTray.exe = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\MyGuard Cryptor PLUS
- Templateever = 4.0.1.9
- Templateever = 4.0.1.9
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: Setup Version = 5.2.3
- Inno Setup: Setup Version = 5.2.3
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: App Path = %Program Files%\CryptorPlus\
- Inno Setup: App Path = %Program Files%\CryptorPlus\
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- InstallLocation = %Program Files%\CryptorPlus\
- InstallLocation = %Program Files%\CryptorPlus\
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: Icon Group = Cryptor Plus
- Inno Setup: Icon Group = Cryptor Plus
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Inno Setup: User = {User name}
- Inno Setup: User = {User name}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe
- DisplayIcon = %Program Files%\CryptorPlus\CPManager.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- UninstallString = %Program Files%\CryptorPlus\unins000.exe
- UninstallString = %Program Files%\CryptorPlus\unins000.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT
- QuietUninstallString = "%Program Files%\CryptorPlus\unins000.exe" /SILENT
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- Publisher = INZENT, Inc.
- Publisher = INZENT, Inc.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- URLInfoAbout = http://www.inzent.com/
- URLInfoAbout = http://www.inzent.com/
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- NoModify = 1
- NoModify = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- NoRepair = 1
- NoRepair = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyGuard CryptorPlus-Install-Unicode_is1
- InstallDate = {Date Malware Installed}
- InstallDate = {Date Malware Installed}
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\MyGuard Client
- SetupTmpVersion = 4.0.1.9
- SetupTmpVersion = 4.0.1.9
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\OtherInfo\Injection
- HKOTAPI.DLL = 1
- HKOTAPI.DLL = 1
Step 7
Diesen Registrierungsschlüssel löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- .cpd
- .cpd
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\cdpopen\
- command
- command
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\shell\
- cdpopen
- cdpopen
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cpdfile\
- shell
- shell
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
- cpdfile
- cpdfile
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- MyGuard Client
- MyGuard Client
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- MyGuard Cryptor PLUS
- MyGuard Cryptor PLUS
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\OtherInfo\
- Injection
- Injection
- In HKEY_LOCAL_MACHINE\SOFTWARE\ITM System\
- OtherInfo
- OtherInfo
- In HKEY_LOCAL_MACHINE\SOFTWARE\
- ITM System
- ITM System
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
- MyGuard CryptorPlus-Install-Unicode_is1
- MyGuard CryptorPlus-Install-Unicode_is1
Step 8
Diese Dateien suchen und löschen
- %ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
- %ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
- %ProgramData%\MyGuard\SetupTmp.exe
- %Program Files%\CryptorPlus\unins000.dat
- %Program Files%\CryptorPlus\unins000.exe
- %System%\msvcr100.dll
- %System%\msvcp100.dll
- %System%\ptrwide.dll
- %System%\fmsysotn.exe
- %System%\DeElev.exe
- %System%\elenon.dll
- %System%\MGCrypto.dll
- %System%\DrvOTInj32.exe
- %System%\DrvOTInj64.exe
- %System%\DllOTinj32V2.exe
- %System%\ClipLDR32.exe
- %System%\DeShFile.dll
- %System%\GetOPath.dll
- %System%\GetOpath.sys
- %System%\OpenList.exe
- %System%\HKOTAPI.dll
- %System%\HKOTAPI64.dll
- %System%\ClipOTPS.dll
- %System%\ClipOTPS64.dll
- %System%\HKOTCopy.dll
- %System%\HKOTCopy64.dll
- %System%\HKOTPrn.dll
- %System%\HKOTPrn64.dll
- %System%\HKOTPrev.dll
- %System%\HKOTPrev64.dll
- %System%\HKOTFileHelper.dll
- %System%\HKOTFile.dll
- %System%\HKOTFile64.dll
- %System%\ClipOTPrn.dll
- %System%\ItlsHKOT.Sys
- %System%\ItlsHKOT64.sys
- %System%\ItlsHKOTO.sys
- %System%\ItlsHKOT64O.sys
- %System%\FilesOTUse.dll
- %System%\ItlsOTN.dll
- %System%\ItlsinstdrvOT.exe
- %System%\itlsNUOT.dll
- %System%\drivers\ItlsOTN.sys
- %System%\URLGrab.dll
- %System%\MDIOTHook.dll
- %System%\miscfunc.dll
- %System%\AgentComMod.dll
- %System%\Exfn.dll
- %System%\MgCryptoSHA.dll
- %Program Files%\CryptroPlus\CPManager.exe
- %Program Files%\CryptroPlus\Ionic.zip.dll
- %Program Files%\CryptroPlus\MgNetLib.dll
- %Program Files%\CryptroPlus\MgNetLog.dll
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll
- %Program Files%\CryptroPlus\System.Net.Json.dll
- %Program Files%\CryptroPlus\CPLng.Dat
- %Program Files%\CryptroPlus\MyGuardTray.exe
- %Common Programs%\Cryptor Plus\CPManager.lnk
- %Common Programs%\Cryptor Plus\unins000.lnk
- %ProgramData%\MyGuard\Log\Cryptor Plus\{Date that the malware was executed}.log
- %ProgramData%\MyGuard\CryptorTmp\20220803181356737331\System.zip
- %ProgramData%\MyGuard\SetupTmp.exe
- %Program Files%\CryptorPlus\unins000.dat
- %Program Files%\CryptorPlus\unins000.exe
- %System%\msvcr100.dll
- %System%\msvcp100.dll
- %System%\ptrwide.dll
- %System%\fmsysotn.exe
- %System%\DeElev.exe
- %System%\elenon.dll
- %System%\MGCrypto.dll
- %System%\DrvOTInj32.exe
- %System%\DrvOTInj64.exe
- %System%\DllOTinj32V2.exe
- %System%\ClipLDR32.exe
- %System%\DeShFile.dll
- %System%\GetOPath.dll
- %System%\GetOpath.sys
- %System%\OpenList.exe
- %System%\HKOTAPI.dll
- %System%\HKOTAPI64.dll
- %System%\ClipOTPS.dll
- %System%\ClipOTPS64.dll
- %System%\HKOTCopy.dll
- %System%\HKOTCopy64.dll
- %System%\HKOTPrn.dll
- %System%\HKOTPrn64.dll
- %System%\HKOTPrev.dll
- %System%\HKOTPrev64.dll
- %System%\HKOTFileHelper.dll
- %System%\HKOTFile.dll
- %System%\HKOTFile64.dll
- %System%\ClipOTPrn.dll
- %System%\ItlsHKOT.Sys
- %System%\ItlsHKOT64.sys
- %System%\ItlsHKOTO.sys
- %System%\ItlsHKOT64O.sys
- %System%\FilesOTUse.dll
- %System%\ItlsOTN.dll
- %System%\ItlsinstdrvOT.exe
- %System%\itlsNUOT.dll
- %System%\drivers\ItlsOTN.sys
- %System%\URLGrab.dll
- %System%\MDIOTHook.dll
- %System%\miscfunc.dll
- %System%\AgentComMod.dll
- %System%\Exfn.dll
- %System%\MgCryptoSHA.dll
- %Program Files%\CryptroPlus\CPManager.exe
- %Program Files%\CryptroPlus\Ionic.zip.dll
- %Program Files%\CryptroPlus\MgNetLib.dll
- %Program Files%\CryptroPlus\MgNetLog.dll
- %Program Files%\CryptroPlus\Interop.SHDocVw.dll
- %Program Files%\CryptroPlus\Interop.TaskScheduler.dll
- %Program Files%\CryptroPlus\System.Net.Json.dll
- %Program Files%\CryptroPlus\CPLng.Dat
- %Program Files%\CryptroPlus\MyGuardTray.exe
- %Common Programs%\Cryptor Plus\CPManager.lnk
- %Common Programs%\Cryptor Plus\unins000.lnk
Step 9
Diese Ordner suchen und löschen
- %ProgramData%\MyGuard\Log\Cryptor Plus
- %ProgramData%\MyGuard\Log
- %ProgramData%\MyGuard
- %Program Files%\CryptorPlus
- %Common Programs%\Cryptor Plus
- %System%\CPTEMP
Step 10
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Trojan.Win32.INJECTOR.EPLCRM entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 11
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Trojan.Win32.INJECTOR.EPLCRM entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Participez à notre enquête!