TROJ_FAKEAV.FHR

Puede haberlo infiltrado otro malware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Emplea la creación del shell de registro mediante la introducción de determinadas entradas de registro. Esto permite la ejecución de este malware aunque estén abiertas otras aplicaciones.

Modifica las entradas de registro para desactivar la configuración del cortafuegos de Windows. Esta acción permite que el malware lleve a cabo sus rutinas sin ser detectado por el cortafuegos de Windows.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\n3a4ax1ph0166w8150b7w8h53fg04xrpxnlc86
• %Temp%\n3a4ax1ph0166w8150b7w8h53fg04xrpxnlc86

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{3 random characters}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Emplea la generación del shell de registro para garantizar su ejecución cuando se accede a determinados tipos de archivo mediante la introducción de las entradas siguientes:

HKEY_CLASSES_ROOT\{2 random characters}\shell\
open\command
(Default) = "%Application Data%\{3 random characters}.exe"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(Default) = "%Application Data%\{3 random characters}.exe"

HKEY_CLASSES_ROOT\{2 random characters}
(Default) = "Application"

HKEY_CLASSES_ROOT\{2 random characters}
Content Type = "application/x-msdownload"

HKEY_CLASSES_ROOT\{2 random characters}\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
runas\command
(Default) = ""%1" %*"

HKEY_CLASSES_ROOT\{2 random characters}\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
(Default) = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe
(Default) = "{2 random characters}"

HKEY_CURRENT_USER\Software\Classes\
.exe
Content Type = "application/x-msdownload"

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
(Default) = "%1"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
(Default) = "%Application Data%\(3 random characters}.exe -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
(Default) = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}
(Default) = "Application"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}
Content Type = "application/x-msdownload"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\DefaultIcon
(Default) = "%1"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\open\
command
(Default) = "%Application Data%\{3 randomcharacters}.exe -a "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\runas\
command
(Default) = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}\shell\runas\
command
IsolatedCommand = ""%1" %*"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows
Local = "a362f438"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\{2 random characters}

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CURRENT_USER\Software\Classes\
.exe

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
{2 random characters}

HKEY_CLASSES_ROOT\.exe\DefaultIcon

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
MessengerService
Server = "messenger.hotmail.com;64.4.61.35:1863"

(Note: The default value data of the said registry entry is messenger.hotmail.com;64.4.9.254:1863.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe""

(Note: The default value data of the said registry entry is %Program Files%\Mozilla Firefox\firefox.exe.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"

(Note: The default value data of the said registry entry is "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode.)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
(Default) = ""%Application Data%\{3 random characters}.exe" -a "%Program Files%\Internet Explorer\iexplore.exe""

(Note: The default value data of the said registry entry is %Program Files%\Internet Explorer\iexplore.exe.)

HKEY_CLASSES_ROOT\.exe
(Default) = "2 random characters"

(Note: The default value data of the said registry entry is exefile.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Modifica las siguientes entradas de registro para desactivar la configuración del cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

(Note: The default value data of the said registry entry is 0.)

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv