TROJ64_WHAIM.A
Trojan/Win64.Destroyer (AhnLab),Trojan.Destfallen (Symantec)
Windows
Threat Type:
Trojan
Destructiveness:
No
Encrypted:
Yes
In the wild::
Yes
OVERVIEW
Puede haberlo infiltrado otro malware.
TECHNICAL DETAILS
Detalles de entrada
Puede haberlo infiltrado el malware siguiente:
Instalación
Crea las siguientes copias de sí mismo en el sistema afectado:
- %System%\{random file name}.dll
where {random file name} can be any of the following:- bddsvc.dll
- iconsvc.dll
- ehressvc.dll
- netstsvc.dll
- pnas.dll
- pnrpmchname.dll
- pwpsvc.dll
- pcssvc.dll
- rregconf.dll
- scardmngsvc.dll
- tcpmsvc.dll
- tschmng.dll
- mmthread.dll
- wcmngsvc.dll
- coladj.dll
- wndmodmng.dll
- timesyncsvc.dll
- wiredconfsvc.dll
- wlanconf.dll
- wstmng.dll
(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).
)Técnica de inicio automático
Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}
ImagePath = "%SystemRoot%\System32\svchost.exe -k {random service name}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}
DisplayName = "{display name}"
where {display name} can be any of the following:
- BitLocker Drive Decryption Service
- Internet Connection Service
- Media Center Service
- Network Storage Service
- Peer Networking Address
- PNRP Machine Name
- Power Policy
- Program Compatibility Service
- Remote Registry Configuration
- Smart Card Management Service
- Tablet PC Management Service
- Task Schedule Manager
- Thread Ordering Service
- WebClient Manage Service
- Windows Color Adjustment
- Windows Modules Management
- Windows Time Synchronization
- Wired Config Service
- WLAN Config Service
- Workstation management
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}
Description = "{service description}"
where {service description} can be any of the following:
- BDESVC hosts the BitLocker Drive Decryption service.
- Provides network address translation, addressing, name resolution and/or intrusion prevention services for a home or small office network.
- Allows Media Center to locate and connect to the computer.
- This service delivers network notifications (e.
- Enables multi-party communication using Peer-to-Peer Connecting.
- This service publishes a machine name using the Peer Name Resolution Protocol.
- Manages power policy and power policy notification delivery.
- This service provides support for the Program Compatibility Assistant (PCA).
- Enables remote users to modify registry configurations on this computer.
- Manages access to smart cards read by this computer.
- Enables Tablet PC pen and ink functionality
- Enables a user to configure and schedule automated tasks on this computer.
- Provides ordered execution for a group of threads within a specific period of time.
- Enables Windows-based programs to create, access, and modify Internet-based files.
- The WcasPlugInService service hosts third-party Windows Color System color device model and gamut map model plug-in modules.
- Enables installation, modification, and removal of Windows updates and optional components.
- Maintains date and time synchronization on all clients and servers in the network.
- The Wired AutoConfig (DOT3SVC) service is responsible for performing IEEE 802.1X
- Creates and maintains client network connections to remote server using the SMB protocol
SOLUTION
Step 2
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 5
Reiniciar en modo seguro
Step 6
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- {service name}
- {service name}
Step 7
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TROJ64_WHAIM.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Step 8
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como TROJ64_WHAIM.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.