TSPY_ONLING.SMIF

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Este malware se elimina tras la ejecución.

Dimensione file: 58,386 bytes

Tipo di file: EXE

Residente in memoria: No

Data di ricezione campioni iniziali: 23 aprile 2012

Instalación

Crea las carpetas siguientes:

D:\VolumeDH
%User Profile%\Application Data\PIPI
%User Profile%\Application Data\PPLive
%System Root%\zwok
%Windows%\LastGood
%Windows%\LastGood\INF
%User Profile%\PPLive\tmp
%User Profile%\tmp\a.{971C5380-92A0-5A69-B3EE-C3002B33309E}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Otras modificaciones del sistema

Elimina los archivos siguientes:

%User Profile%\Application Data\2.tmp
%Windows%\fonts\msgothic.ttf
%Windows%\fonts\msuigoth.ttf
%Windows%\fonts\MSMINCHO.TTF
%Windows%\fonts\Gulim.ttf
%Windows%\fonts\Gulimche.ttf
%Windows%\fonts\Dotum.ttf
%Windows%\fonts\Batang.ttf
%Windows%\fonts\Gungsuh.ttf
%Windows%\fonts\Simsun.ttf
%Windows%\fonts\nsimsun.ttf
%Windows%\fonts\MingLiU.ttf
%Windows%\fonts\pmingliu.ttf
%System%\SET8.tmp
%System%\kbd101b.dll
%System%\SETA.tmp
%System%\kbd101c.dll
%System%\SETC.tmp
%System%\kbd103.dll
%System%\SETE.tmp
%System%\kbd106.dll
%System%\SET10.tmp
%System%\kbdjpn.dll
%System%\SET12.tmp
%System%\kbdkor.dll
%Windows%\INF\oem12.inf
%User Temp%\inl6.tmp

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\WinRAR

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_CURRENT_USER\Software\tmp

HKEY_CLASSES_ROOT\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}

HKEY_CLASSES_ROOT\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}\
Shell\open(&H)\Command

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\WinRAR
flower238 = "flower238"

HKEY_LOCAL_MACHINE\SOFTWARE\WinRAR
uid = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\WinRAR
uname = "system"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

HKEY_CURRENT_USER\Software\tmp
key = "http://www.{BLOCKED}3.com/?o"

HKEY_LOCAL_MACHINE\SOFTWARE\WinRAR
hp = "{random values}"

HKEY_CLASSES_ROOT
.grp = "MSProgramGroup"

HKEY_CLASSES_ROOT
MSProgramGroup = "Microsoft Program Group"

HKEY_CLASSES_ROOT
MSProgramGroup\Shell\Open\Command = "%System%\grpconv.exe %1"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}3.com/?o"

(Note: The default value data of the said registry entry is http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}3.com/?o"

(Note: The default value data of the said registry entry is http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\GrpConv
Log = "Init Application."