TROJ_TIGGRE.H
Trojan.Win32.APosT.qf (Kaspersky); Trojan:Win32/Tiggre!rfn (Microsoft); Trojan.Agent.WNH (Malwarebytes)
Windows
Tipo de malware
Trojan
Destructivo?
No
Cifrado
No
In the Wild:
Sí
Resumen y descripción
Se ejecuta y, a continuación, se elimina.
Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.
Este malware modifica la configuración de zona de Internet Explorer.
Recopila determinada información del equipo afectado.
Se conecta a determinados sitios Web para enviar y recibir información.
Detalles técnicos
Instalación
Infiltra los archivos siguientes:
- %User Temp%\winhelp.dat -> (deleted afterwards)
- %User Temp%\~Update.lnk -> (deleted afterwards) target location: C:\Windows\system32\control.exe C:\PROGRA~1\COMMON~1\services\winhelp.cpl
- %User Startup%\Microsoft.lnk -> renamed "~Update.lnk"
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft.lnk -> if not admin
- %Program Files%\Common Files\Services\winhelp.dat -> (deleted afterwards) MS Cab file
- %Application Data%\microsoft\credentials\winhelp.dat -> alternative location if dropping is not successful
- %Program Files%\Common Files\Services\winhelp.cpl -> extracted from winhelp.dat
- %Application Data%\microsoft\credentials\winhelp.cpl -> alternative location if dropping is not successful
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).
. %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).)Agrega los procesos siguientes:
- control C:\PROGRA~1\COMMON~1\services\winhelp.cpl
- "C:\Windows\system32\rundll32.exe" Shell32.dll,Control_RunDLL C:\PROGRA~1\COMMON~1\services\winhelp.cpl
Se ejecuta y, a continuación, se elimina.
Técnica de inicio automático
Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\helpsvc
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\helpsvc
DisplayName = "Windows Multimedia Service"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\helpsvc
Description = "Windows Multimedia Service for media devices"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\helpsvc\Parameters
ServiceDll = "C:\PROGRA~1\COMMON~1\services\winhelp.cpl"
Otras modificaciones del sistema
Elimina los archivos siguientes:
- %User Startup%\Microsoft.lnk
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft.lnk -> if not admin
(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).
)Modificación de la página de inicio y de la página de búsqueda del explorador Web
Este malware modifica la configuración de zona de Internet Explorer.
Robo de información
Recopila la siguiente información del equipo afectado:
- Computer name
- Volume serial number
- Microsoft Windows version
- CPU speed
- ANSI code page
- OEM code page identifier for the operating system
- Physical and virtual memory information
Otros detalles
Se conecta al sitio Web siguiente para enviar y recibir información:
- www.{BLOCKED}dxp.com
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Desactivar este servicio de malware
- helpsvc
Step 4
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services
- helpsvc
- helpsvc
Step 5
Buscar y eliminar este archivo
- %User Temp%\winhelp.dat
- %User Temp%\~Update.lnk
- %User Startup%\Microsoft.lnk
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft.lnk
- %Program Files%\Common Files\Services\winhelp.dat
- %Application Data%\microsoft\credentials\winhelp.dat
- %Program Files%\Common Files\Services\winhelp.cpl
- %Application Data%\microsoft\credentials\winhelp.cpl
Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TROJ_TIGGRE.H En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Rellene nuestra encuesta!