Backdoor.Win32.ZEGOST.AMY
Win32/Farfli.CJT trojan(NOD32); VirTool:Win32/CeeInject.TD!bit(MICROSOFT)
Windows
Threat Type:
Backdoor
Destructiveness:
No
Encrypted:
In the wild::
Yes
OVERVIEW
Este malware no tiene ninguna rutina de propagación.
However, as of this writing, the said sites are inaccessible.
Este malware no tiene ninguna capacidad para robar información.
Este malware se elimina tras la ejecución.
TECHNICAL DETAILS
Instalación
Crea las siguientes copias de sí mismo en el sistema afectado:
- %Program Files%\java.exe
(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).
)Agrega los procesos siguientes:
- %system%\cmd.exe /c del {malware path and file name} > nul
- %Program Files%\java.exe
(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).
)Técnica de inicio automático
Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Java(TM) Platform Sa 8.02
DisplayName = "Oracle Corporation"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Java(TM) Platform Sa 8.02
ImagePath = "%Program Files%\java.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Java(TM) Platform Sa 8.02
Start = "SERVICE_AUTO_START"
Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Java(TM) Platform Sa 8.02
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Java(TM) Platform Sa 8.02\MarkTime
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Java(TM) Platform Sa 8.02\Description
Otras modificaciones del sistema
Agrega las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Java(TM) Platform Sa 8.02
MarkTime = "{date of execution}"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Java(TM) Platform Sa 8.02
Description = "Java(TM) Platform SE 8 Oracle Corporation"
Modifica las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\W32Time
Type = "16"
(Note: The default value data of the said registry entry is 20.)
Propagación
Este malware no tiene ninguna rutina de propagación.
Rutina de puerta trasera
However, as of this writing, the said sites are inaccessible.
Finalización del proceso
Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:
- 360sd.exe
- 360tray.exe
- 360安全卫士
- 360杀毒
- ad-watch.exe
- Ad-watch反间谍
- ashDisp.exe
- Avast网络安全
- avcenter.exe
- AVG
- avgwdsvc.exe
- avp.exe
- AYAgent.aye
- baiduSafeTray.exe
- BaiduSd.exe
- BitDefender
- cfp.exe
- Comodo杀毒
- DR.WEB
- egui.exe
- F-Secure
- f-secure.exe
- K7TSecurity.exe
- K7杀毒
- knsdtray.exe
- KSafeTray.exe
- KvMonXP.exe
- kxetray.exe
- Mcshield.exe
- mssecess.exe
- NOD32
- Outpostacs.exe
- PSafe
- PSafe反病毒
- QQPCRTP.exe
- QQ电脑管家
- QUHLPSVC.EXE
- QuickHeal
- RavMonD.exe
- remupd.exe
- rtvscan.exe
- SPIDer.exe
- SysTray.exe
- TMBMSRV.exe
- UnThreat
- UnThreat.exe
- V3Svc.exe
- vsserv.exe
- 卡巴
- 可牛
- 安博士V3
- 小红伞
- 微软MSE
- 江民
- 熊猫卫士
- 瑞星
- 百度卫士
- 百度杀毒
- 诺顿
- 趋势
- 金山安全卫士
- 金山毒霸
- 韩国胶囊
- 麦咖啡
Robo de información
Este malware no tiene ninguna capacidad para robar información.
Otros detalles
Este malware se elimina tras la ejecución.
SOLUTION
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 4
Reiniciar en modo seguro
Step 5
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- Java(TM) Platform Sa 8.02
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Java(TM) Platform Sa 8.02
- MarkTime
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Java(TM) Platform Sa 8.02
- Description
Step 6
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Java(TM) Platform Sa 8.02
- MarkTime = {date of execution}
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Java(TM) Platform Sa 8.02
- Description = Java(TM) Platform SE 8 Oracle Corporation
Step 7
Restaurar este valor del Registro modificado
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time
- From: Type = 16
To: Type = 20
- From: Type = 16
Step 8
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Backdoor.Win32.ZEGOST.AMY En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.