Author: Kathleen Notario   
 PLATFORM:

Windows 2000, XP, Server 2003

 OVER ALL RISK RATING:
 REPORTED INFECTION:
 Beeinträchtigung der Systemleistung ::
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Trojan

  • Destructiveness:
    No

  • Encrypted:
    No

  • In the wild::
    Yes

  OVERVIEW

Llega como archivo que exporta las funciones de otro malware/grayware/spyware.

Este malware modifica la configuración de zona de Internet Explorer.

  TECHNICAL DETAILS

File size: 1,022,464 bytes
File type: DLL
Memory resident: No
INITIAL SAMPLES RECEIVED DATE: 10 de listopada de 2010

Detalles de entrada

Llega como archivo que exporta las funciones de otro malware/grayware/spyware.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CLASSES_ROOT\CLSID\{460B4F43-12E1-474C-9103-54855F10C1E2}\
InprocServer32
(default) = {malware path and filename}

Se registra como BHO para garantizar su ejecución automática cada vez que se utilice Internet Explorer mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{460B4F43-12E1-474C-9103-54855F10C1E2}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\CLSID\{460B4F43-12E1-474C-9103-54855F10C1E2}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\New Windows
Allow HTTPS = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnZoneCrossing = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnHTTPSToHTTPRedirect = 0

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

  SOLUTION

Minimum scan engine: 8.900
First VSAPI Pattern File: 7.608.03
First VSAPI Pattern Release Date: 10 de listopada de 2010

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Explorar el equipo con su producto de Trend Micro y anotar los archivos detectados como TSPY_NIMKEY.A

Step 3

Reiniciar en modo seguro

[ learnMore ]

Step 4

Eliminar esta clave del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

 
  • In HKEY_CLASSES_ROOT\CLSID
    • {460B4F43-12E1-474C-9103-54855F10C1E2}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
    • {460B4F43-12E1-474C-9103-54855F10C1E2}

Step 5

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows
    • Allow HTTPS = 1
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • WarnOnZoneCrossing = 0
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • WarnOnHTTPSToHTTPRedirect = 0

Step 6

Buscar y eliminar el archivo detectado como TSPY_NIMKEY.A

[ learnMore ]
Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todos los archivos ocultos.

Step 7

Restablecer la configuración de seguridad de Internet

[ learnMore ]


Did this description help? Tell us how we did.