TROJ_FAKEAV.KEA

Puede haberlo infiltrado otro malware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Este malware muestra alertas falsas que advierten a los usuarios de una infección. También muestra resultados de exploración falsos del sistema afectado. A continuación pide a los usuarios que lo adquieran una vez haya finalizado la exploración. Si los usuarios deciden adquirir el producto, aparecerá un sitio Web en el que se les pedirá información confidencial, como su número de tarjeta de crédito.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Infiltra los archivos siguientes:

• %Application Data\{9 random alpha characters}\{7 random alpha characters}tssd.exe - copy of itself
• %Windows%\{7 random alpha characters}tssd.exe - copy of itself

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = {malware path and file name}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = {malware path and file name}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = .exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Attachments
SaveZoneInformation = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = no

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
RunInvalidSignatures = 1

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• It executes an embedded VBS script from its malware body. This script acts like a legitimate AV program. It cleans known malware processes, files, GUIDs, and BHOs which are pre-listed in the script’s code. It does this by calling several functions that each perform a specific task in cleaning infection.
• It then sends a notification to the following servers: {BLOCKED}x.com and {BLOCKED}x.net
• It monitors created processes. If a new process is created, this malware does not allow the user to use the executed file. Instead it displays a message that the file being executed by the user is infected and needs to be cleaned. Clicking the button will redirect users to the malware’s fake purchase site.
• This malware intercepts requests from the Internet browser and displays a warning message on the browser.

Rutina de antivirus falso

Este malware muestra alertas falsas que advierten a los usuarios de una infección. También muestra resultados de exploración falsos del sistema afectado. A continuación pide a los usuarios que lo adquieran una vez haya finalizado la exploración. Si los usuarios deciden adquirir el producto, aparecerá un sitio Web en el que se les pedirá información confidencial, como su número de tarjeta de crédito.