TROJ_DROPPR.SMAB

Publish Date: 25 de июня de 2013

Trojan:Win32/Agent (Microsoft); Generic Dropper!dqv (McAfee); Trojan.Gen (Symantec); Trojan-Dropper.Win32.Agent.egnh (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan.Generic.5844201 (FSecure)

PLATFORM:

Windows 2000, XP, Server 2003

OVER ALL RISK RATING:

DAMAGE POTENTIAL::

DISTRIBUTION POTENTIAL::

REPORTED INFECTION:

Low

Medium

High

Critical

Threat Type:
Trojan
Destructiveness:
No
Encrypted:
In the wild::
Yes

OVERVIEW

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

TECHNICAL DETAILS

File size: 151,678 bytes

File type: EXE

Memory resident: Yes

INITIAL SAMPLES RECEIVED DATE: 04 ноября 2011

Instalación

Crea las carpetas siguientes:

%Windows%\20111027
%Windows%\20111027\j8J55dQ2aWJl8hdb
%Windows%\20111027\j8J55dQ2aWJl8hdb\script
%Windows%\20111027\255qLW2AnWq2ewTE

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
flashget = "%Windows%\20111027\255qlw2anwq2ewte\smss.exe "

Se registra como BHO para garantizar su ejecución automática cada vez que se utilice Internet Explorer mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{85BF5C3B-5C8C-4483-90B3-74007070CC14}

Otras modificaciones del sistema

Modifica los archivos siguientes:

%Start Menu%\Programs\Internet Explorer.lnk

(Nota: %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

)

Elimina los archivos siguientes:

%System Root%\88822X~1.BAT
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\SCRIPT~1.BAT
%Windows%\20111027\255qLW2AnWq2ewTE\SMSSEX~1.BAT
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\XlKankan.dll
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\reg.bat
%System Root%\88822X~1.EXE

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\AllTypes

HKEY_CLASSES_ROOT\AllTypes\shell\
open\command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}\TypeLib

HKEY_CLASSES_ROOT\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}\InprocServer32

HKEY_CLASSES_ROOT\QvodAdBlocker.Qvod

HKEY_CLASSES_ROOT\.tt

HKEY_CLASSES_ROOT\tt

HKEY_CLASSES_ROOT\tt\shell\
open\command

HKEY_CLASSES_ROOT\tt\DefaultIcon

HKEY_CLASSES_ROOT\css

HKEY_CLASSES_ROOT\css\shell\
open\command

HKEY_CLASSES_ROOT\css\DefaultIcon

HKEY_CLASSES_ROOT\.bt

HKEY_CLASSES_ROOT\bt

HKEY_CLASSES_ROOT\bt\shell\
open\command

HKEY_CLASSES_ROOT\bt\DefaultIcon

HKEY_CLASSES_ROOT\shb

HKEY_CLASSES_ROOT\shb\shell\
open\command

HKEY_CLASSES_ROOT\shb\DefaultIcon

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\Explorer

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\ShellBrowser

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{871C5380-42A0-1069-A2EA-08002B30309A}

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
DefaultIcon

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
InProcServer32

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\OpenHomePage

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\OpenHomePage\Command

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\Q

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\Q\Command

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\ÊôÐÔ(&R)

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
Shell\ÊôÐÔ(&R)\Command

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\
ShellFolder

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\Ê¹ÓÃ[×ÛºÏ]Ñ¡´Ê¿ìËÙËÑË÷

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\Ê¹ÓÃ[°Ù¶È]Ñ¡´Ê¿ìËÙËÑË÷

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\Ê¹ÓÃ[¹È¸è]Ñ¡´Ê¿ìËÙËÑË÷

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\Ê¹ÓÃ[ÓÐµÀ]Ñ¡´Ê¿ìËÙËÑË÷

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AllTypes
.ini = "inifile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AllTypes
.txt = "txtfile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
ProgID = "QvodAdBlocker.Qvod"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
TypeLib = "{685D2355-C74D-4850-A393-DD622B5F7F2F}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
QvodAdBlocker.Qvod
Clsid = "{760114D6-4609-4936-BE8E-3C2BA00FC261}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden1 = 2

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Session Manager
PendingFileRenameOperations = ""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs""

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Session Manager
PendingFileRenameOperations = ""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs,\??\""

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar
ShowDiscussionButton = "Yes"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\Explorer
ITBarLayout = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\ShellBrowser
{01E04581-4EEE-11D0-BFE9-00AA005B4383} = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\ShellBrowser
ITBarLayout = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{01E04581-4EEE-11D0-BFE9-00AA005B4383} = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{0E5CBF21-D15F-11D0-8301-00AA005B4383} = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
ITBarLayout = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
ITBar7Layout = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{B580CF65-E151-49C3-B73F-70B13FCA8E86} = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{F2CF5485-4E02-4F68-819C-B92DE9277049} = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes
DefaultScope = "{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
DisplayName = "°Ù¶ÈÒ»ÏÂ£¬Äã¾ÍÖªµÀ"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
URL = "http://www.{BLOCKED}webs.com/api/baidu/so.htm?word={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
FaviconPath = "%Application Data%\Microsoft\Internet Explorer\Services\search_{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
SortIndex = 2

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
DisplayName = "ÌÔ±¦ËÑË÷"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
URL = "http://www.{BLOCKED}webs.com/api/taobao/so.htm?word={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
FaviconURL = "http://www.{BLOCKED}o.com/favicon.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
FaviconPath = "%Application Data%\Microsoft\Internet Explorer\Services\search_{E140FB5B-2A9D-4FA4-A20F-089B92412200}.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
SortIndex = 6

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\ShellFolder
Attributes = {random values}

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}4.com/?my=1274"

(Note: The default value data of the said registry entry is http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar
LinksFolderName = "Á´½Ó"

(Note: The default value data of the said registry entry is Links.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar
Locked = 1

(Note: The default value data of the said registry entry is 1.)

Rutina de infiltración

Infiltra los archivos siguientes:

%System Root%\88822X2kJQDefem.exe
%System Root%\88822X2kJQDefem.exe.bat
script.exe
script.vbs
reg.bat
regBHO.reg
XlKankan.dll
tao.ico
smss.exe
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\script.exe.bat
%Windows%\20111027\255qLW2AnWq2ewTE\smss.exe.bat
%Windows%\userid.txt
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\Script.vbs.bat
%Windows%\Survival_0.txt
%Common Startup%\ .jse
%Desktop%\Internet Explorer.tt
%Start Menu%\Programs\Internet Explorer.css
%User Profile%\Quick Launch\Internet Explorer.css
%Desktop%\¹ºÎïÌÔ±¦.bt
%Windows%\SetWindowsIndex.reg
%Favorites%\Á´½Ó\4399Ð¡ÓÎÏ·.url
%Favorites%\³£ÓÃ\4399Ð¡ÓÎÏ·.url
%Favorites%\4399Ð¡ÓÎÏ·.url
%Favorites%\Á´½Ó\¸ßÇåµçÓ°.url
%Favorites%\³£ÓÃ\¸ßÇåµçÓ°.url
%Favorites%\¸ßÇåµçÓ°.url
%Favorites%\Á´½Ó\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\³£ÓÃ\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\Á´½Ó\°Ù¶ÈËÑË÷.url
%Favorites%\³£ÓÃ\°Ù¶ÈËÑË÷.url
%Favorites%\°Ù¶ÈËÑË÷.url
%Favorites%\Á´½Ó\ÆðµãÐ¡Ëµ.url
%Favorites%\³£ÓÃ\ÆðµãÐ¡Ëµ.url
%Favorites%\ÆðµãÐ¡Ëµ.url
%Favorites%\Á´½Ó\ÌÔ±¦¹ºÎï.url
%Favorites%\³£ÓÃ\ÌÔ±¦¹ºÎï.url
%Favorites%\ÌÔ±¦¹ºÎï.url
%Favorites%\Á´½Ó\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\³£ÓÃ\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\Á´½Ó\ÍøÖ·´óÈ«.url
%Favorites%\³£ÓÃ\ÍøÖ·´óÈ«.url
%Favorites%\ÍøÖ·´óÈ«.url
%Windows%\MYShowIeLinkIe6.reg
%Windows%\MyShowIeLinkIe7.reg
%Windows%\rhnkzu.vbs
%Common Startup%\360vbs.jse
%Windows%\search.reg
%Windows%\.reg
%User Profile%\Quick Launch\Launch Internet Explorer Browser.lnk
%Windows%\AddRight.reg

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %Common Startup% es la carpeta de inicio común del sistema, que en el caso de Windows 98 y ME suele estar en C:\Windows\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\All Users\Programas\Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio).

. %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

. %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %Favorites% es la carpeta Favoritos del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Favorites, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Favoritos y en Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Favoritos).

)

SOLUTION

Minimum scan engine: 9.200

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ learnMore ]

Step 3

Cierre todas las ventanas abiertas del explorador.

Step 4

Eliminar esta clave del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_CLASSES_ROOT
- AllTypes

In HKEY_CLASSES_ROOT\AllTypes\shell\open
- command

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
- {685D2355-C74D-4850-A393-DD622B5F7F2F}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}
- 1.0

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0
- FLAGS

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0
- 0

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0\0
- win32

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{685D2355-C74D-4850-A393-DD622B5F7F2F}\1.0
- HELPDIR

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
- {12AF9BA1-5A64-4F63-90D3-1A269C62C886}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
- ProxyStubClsid

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
- ProxyStubClsid32

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
- TypeLib

In HKEY_CLASSES_ROOT\CLSID
- {760114D6-4609-4936-BE8E-3C2BA00FC261}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
- InprocServer32

In HKEY_CLASSES_ROOT
- QvodAdBlocker.Qvod

In HKEY_CLASSES_ROOT
- .tt

In HKEY_CLASSES_ROOT
- tt

In HKEY_CLASSES_ROOT\tt\shell\open
- command

In HKEY_CLASSES_ROOT\tt
- DefaultIcon

In HKEY_CLASSES_ROOT
- css

In HKEY_CLASSES_ROOT\css\shell\open
- command

In HKEY_CLASSES_ROOT\css
- DefaultIcon

In HKEY_CLASSES_ROOT
- .bt

In HKEY_CLASSES_ROOT
- bt

In HKEY_CLASSES_ROOT\bt\shell\open
- command

In HKEY_CLASSES_ROOT\bt
- DefaultIcon

In HKEY_CLASSES_ROOT
- shb

In HKEY_CLASSES_ROOT\shb\shell\open
- command

In HKEY_CLASSES_ROOT\shb
- DefaultIcon

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
- Explorer

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
- ShellBrowser

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer
- SearchScopes

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
- {B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
- {E140FB5B-2A9D-4FA4-A20F-089B92412200}

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace
- {871C5380-42A0-1069-A2EA-08002B30309A}

In HKEY_CLASSES_ROOT\CLSID
- {871C5380-42A0-1069-A2EA-08002B30309A}

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}
- DefaultIcon

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}
- InProcServer32

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}
- Shell

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell
- OpenHomePage

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell\OpenHomePage
- Command

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell
- Q

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell\Q
- Command

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell
- ÊôÐÔ(&R)

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\Shell\ÊôÐÔ(&R)
- Command

In HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}
- ShellFolder

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
- Ê¹ÓÃ[×ÛºÏ]Ñ¡´Ê¿ìËÙËÑË÷

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
- Ê¹ÓÃ[°Ù¶È]Ñ¡´Ê¿ìËÙËÑË÷

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
- Ê¹ÓÃ[¹È¸è]Ñ¡´Ê¿ìËÙËÑË÷

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
- Ê¹ÓÃ[ÓÐµÀ]Ñ¡´Ê¿ìËÙËÑË÷

Para eliminar la clave del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT
También en el panel izquierdo, busque y elimine la clave:
AllTypes
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>AllTypes>shell>open
También en el panel izquierdo, busque y elimine la clave:
command
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib
También en el panel izquierdo, busque y elimine la clave:
{685D2355-C74D-4850-A393-DD622B5F7F2F}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{685D2355-C74D-4850-A393-DD622B5F7F2F}
También en el panel izquierdo, busque y elimine la clave:
1.0
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{685D2355-C74D-4850-A393-DD622B5F7F2F}>1.0
También en el panel izquierdo, busque y elimine la clave:
FLAGS
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{685D2355-C74D-4850-A393-DD622B5F7F2F}>1.0>0
También en el panel izquierdo, busque y elimine la clave:
win32
También en el panel izquierdo, busque y elimine la clave:
HELPDIR
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface
También en el panel izquierdo, busque y elimine la clave:
{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid32
También en el panel izquierdo, busque y elimine la clave:
TypeLib
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID
También en el panel izquierdo, busque y elimine la clave:
{760114D6-4609-4936-BE8E-3C2BA00FC261}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{760114D6-4609-4936-BE8E-3C2BA00FC261}
También en el panel izquierdo, busque y elimine la clave:
InprocServer32
También en el panel izquierdo, busque y elimine la clave:
QvodAdBlocker.Qvod
También en el panel izquierdo, busque y elimine la clave:
.tt
También en el panel izquierdo, busque y elimine la clave:
tt
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>tt>shell>open
También en el panel izquierdo, busque y elimine la clave:
command
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>tt
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
También en el panel izquierdo, busque y elimine la clave:
css
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>css>shell>open
También en el panel izquierdo, busque y elimine la clave:
command
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>css
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
También en el panel izquierdo, busque y elimine la clave:
.bt
También en el panel izquierdo, busque y elimine la clave:
bt
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>bt>shell>open
También en el panel izquierdo, busque y elimine la clave:
command
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>bt
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
También en el panel izquierdo, busque y elimine la clave:
shb
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>shb>shell>open
También en el panel izquierdo, busque y elimine la clave:
command
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>shb
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Toolbar
También en el panel izquierdo, busque y elimine la clave:
ShellBrowser
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer
También en el panel izquierdo, busque y elimine la clave:
SearchScopes
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>SearchScopes
También en el panel izquierdo, busque y elimine la clave:
{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
También en el panel izquierdo, busque y elimine la clave:
{E140FB5B-2A9D-4FA4-A20F-089B92412200}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Desktop>NameSpace
También en el panel izquierdo, busque y elimine la clave:
{871C5380-42A0-1069-A2EA-08002B30309A}
También en el panel izquierdo, busque y elimine la clave:
{871C5380-42A0-1069-A2EA-08002B30309A}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}
También en el panel izquierdo, busque y elimine la clave:
DefaultIcon
También en el panel izquierdo, busque y elimine la clave:
InProcServer32
También en el panel izquierdo, busque y elimine la clave:
Shell
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}>Shell
También en el panel izquierdo, busque y elimine la clave:
OpenHomePage
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}>Shell>OpenHomePage
También en el panel izquierdo, busque y elimine la clave:
Command
También en el panel izquierdo, busque y elimine la clave:
Q
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}>Shell>Q
También en el panel izquierdo, busque y elimine la clave:
Command
También en el panel izquierdo, busque y elimine la clave:
ÊôÐÔ(&R)
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}>Shell>ÊôÐÔ(&R)
También en el panel izquierdo, busque y elimine la clave:
Command
También en el panel izquierdo, busque y elimine la clave:
ShellFolder
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>MenuExt
También en el panel izquierdo, busque y elimine la clave:
Ê¹ÓÃ[×ÛºÏ]Ñ¡´Ê¿ìËÙËÑË÷
También en el panel izquierdo, busque y elimine la clave:
Ê¹ÓÃ[°Ù¶È]Ñ¡´Ê¿ìËÙËÑË÷
También en el panel izquierdo, busque y elimine la clave:
Ê¹ÓÃ[¹È¸è]Ñ¡´Ê¿ìËÙËÑË÷
También en el panel izquierdo, busque y elimine la clave:
Ê¹ÓÃ[ÓÐµÀ]Ñ¡´Ê¿ìËÙËÑË÷
Cierre el Editor del Registro.

Step 5

Eliminar este valor del Registro

[ learnMore ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- flashget="%Windows%\20111027\255qlw2anwq2ewte\smss.exe "

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AllTypes
- .ini="inifile"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AllTypes
- .txt="txtfile"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}\TypeLib
- Version="1.0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
- ProgID="QvodAdBlocker.Qvod"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}\InprocServer32
- ThreadingModel="Apartment"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
- TypeLib="{685D2355-C74D-4850-A393-DD622B5F7F2F}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{760114D6-4609-4936-BE8E-3C2BA00FC261}
- VERSION="1.0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\QvodAdBlocker.Qvod
- Clsid="{760114D6-4609-4936-BE8E-3C2BA00FC261}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
- ProxyStubClsid="{00020424-0000-0000-C000-000000000046}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
- ProxyStubClsid32="{00020424-0000-0000-C000-000000000046}"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- Hidden1=2

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
- PendingFileRenameOperations=""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
- PendingFileRenameOperations=""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs,\??\""

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
- ShowDiscussionButton="Yes"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Explorer
- ITBarLayout={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser
- {01E04581-4EEE-11D0-BFE9-00AA005B4383}={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser
- ITBarLayout={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- {01E04581-4EEE-11D0-BFE9-00AA005B4383}={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- {0E5CBF21-D15F-11D0-8301-00AA005B4383}={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- ITBarLayout={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- ITBar7Layout={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- {B580CF65-E151-49C3-B73F-70B13FCA8E86}={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
- {F2CF5485-4E02-4F68-819C-B92DE9277049}={random values}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
- DefaultScope="{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
- DisplayName="°Ù¶ÈÒ»ÏÂ£¬Äã¾ÍÖªµÀ"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
- URL="http://www.{BLOCKED}webs.com/api/baidu/so.htm?word={searchTerms}"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
- FaviconPath="%Application Data%\Microsoft\Internet Explorer\Services\search_{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}.ico"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
- SortIndex=2

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
- DisplayName="ÌÔ±¦ËÑË÷"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
- URL="http://www.{BLOCKED}webs.com/api/taobao/so.htm?word={searchTerms}"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
- FaviconURL="http://www.{BLOCKED}o.com/favicon.ico"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
- FaviconPath="%Application Data%\Microsoft\Internet Explorer\Services\search_{E140FB5B-2A9D-4FA4-A20F-089B92412200}.ico"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E140FB5B-2A9D-4FA4-A20F-089B92412200}
- SortIndex=6

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}\ShellFolder
- Attributes={random values}

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
En el panel derecho, busque y elimine la entrada:
flashget = "%Windows%\20111027\255qlw2anwq2ewte\smss.exe "
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>AllTypes
En el panel derecho, busque y elimine la entrada:
.ini = "inifile"
En el panel derecho, busque y elimine la entrada:
.txt = "txtfile"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{12AF9BA1-5A64-4F63-90D3-1A269C62C886}>TypeLib
En el panel derecho, busque y elimine la entrada:
Version = "1.0"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{760114D6-4609-4936-BE8E-3C2BA00FC261}
En el panel derecho, busque y elimine la entrada:
ProgID = "QvodAdBlocker.Qvod"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{760114D6-4609-4936-BE8E-3C2BA00FC261}>InprocServer32
En el panel derecho, busque y elimine la entrada:
ThreadingModel = "Apartment"
En el panel derecho, busque y elimine la entrada:
TypeLib = "{685D2355-C74D-4850-A393-DD622B5F7F2F}"
En el panel derecho, busque y elimine la entrada:
VERSION = "1.0"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>QvodAdBlocker.Qvod
En el panel derecho, busque y elimine la entrada:
Clsid = "{760114D6-4609-4936-BE8E-3C2BA00FC261}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{12AF9BA1-5A64-4F63-90D3-1A269C62C886}
En el panel derecho, busque y elimine la entrada:
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"
En el panel derecho, busque y elimine la entrada:
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
En el panel derecho, busque y elimine la entrada:
Hidden1 = 2
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Session Manager
En el panel derecho, busque y elimine la entrada:
PendingFileRenameOperations = ""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs""
En el panel derecho, busque y elimine la entrada:
PendingFileRenameOperations = ""\??\%Windows%\rhnkzu.vbs,\??\%Common Startup%\hxddyn.vbs,\??\""
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Toolbar
En el panel derecho, busque y elimine la entrada:
ShowDiscussionButton = "Yes"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Toolbar>Explorer
En el panel derecho, busque y elimine la entrada:
ITBarLayout = {random values}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Toolbar>ShellBrowser
En el panel derecho, busque y elimine la entrada:
{01E04581-4EEE-11D0-BFE9-00AA005B4383} = {random values}
En el panel derecho, busque y elimine la entrada:
ITBarLayout = {random values}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Toolbar>WebBrowser
En el panel derecho, busque y elimine la entrada:
{01E04581-4EEE-11D0-BFE9-00AA005B4383} = {random values}
En el panel derecho, busque y elimine la entrada:
{0E5CBF21-D15F-11D0-8301-00AA005B4383} = {random values}
En el panel derecho, busque y elimine la entrada:
ITBarLayout = {random values}
En el panel derecho, busque y elimine la entrada:
ITBar7Layout = {random values}
En el panel derecho, busque y elimine la entrada:
{B580CF65-E151-49C3-B73F-70B13FCA8E86} = {random values}
En el panel derecho, busque y elimine la entrada:
{F2CF5485-4E02-4F68-819C-B92DE9277049} = {random values}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>SearchScopes
En el panel derecho, busque y elimine la entrada:
DefaultScope = "{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>SearchScopes>{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}
En el panel derecho, busque y elimine la entrada:
DisplayName = "°Ù¶ÈÒ»ÏÂ£¬Äã¾ÍÖªµÀ"
En el panel derecho, busque y elimine la entrada:
URL = "http://www.{BLOCKED}webs.com/api/baidu/so.htm?word
En el panel derecho, busque y elimine la entrada:
FaviconPath = "%Application Data%\Microsoft\Internet Explorer\Services\search_{B2D17A31-2642-4D03-9D1F-ABD3BE1DCC4E}.ico"
En el panel derecho, busque y elimine la entrada:
SortIndex = 2
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>SearchScopes>{E140FB5B-2A9D-4FA4-A20F-089B92412200}
En el panel derecho, busque y elimine la entrada:
DisplayName = "ÌÔ±¦ËÑË÷"
En el panel derecho, busque y elimine la entrada:
URL = "http://www.{BLOCKED}webs.com/api/taobao/so.htm?word
En el panel derecho, busque y elimine la entrada:
FaviconURL = "http://www.{BLOCKED}o.com/favicon.ico"
En el panel derecho, busque y elimine la entrada:
FaviconPath = "%Application Data%\Microsoft\Internet Explorer\Services\search_{E140FB5B-2A9D-4FA4-A20F-089B92412200}.ico"
En el panel derecho, busque y elimine la entrada:
SortIndex = 6
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{871C5380-42A0-1069-A2EA-08002B30309A}>ShellFolder
En el panel derecho, busque y elimine la entrada:
Attributes = {random values}
Cierre el Editor del Registro.

Step 6

Restaurar este valor del Registro modificado

[ learnMore ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: HideFileExt=1
  To: HideFileExt=1

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- From: Start Page="http://www.{BLOCKED}4.com/?my=1274"
  To: Start Page=http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
- From: LinksFolderName="Á´½Ó"
  To: LinksFolderName=Links

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
- From: Locked=1
  To: Locked=1

Step 7

Buscar y eliminar estas carpetas

[ learnMore ]

Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.

%Windows%\20111027
%Windows%\20111027\j8J55dQ2aWJl8hdb
%Windows%\20111027\j8J55dQ2aWJl8hdb\script
%Windows%\20111027\255qLW2AnWq2ewTE

Step 8

Buscar y eliminar estos archivos

[ learnMore ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

%System Root%\88822X2kJQDefem.exe
%System Root%\88822X2kJQDefem.exe.bat
script.exe
script.vbs
reg.bat
regBHO.reg
XlKankan.dll
tao.ico
smss.exe
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\script.exe.bat
%Windows%\20111027\255qLW2AnWq2ewTE\smss.exe.bat
%Windows%\userid.txt
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\Script.vbs.bat
%Windows%\Survival_0.txt
%Common Startup%\ .jse
%Desktop%\Internet Explorer.tt
%Start Menu%\Programs\Internet Explorer.css
%User Profile%\Quick Launch\Internet Explorer.css
%Desktop%\¹ºÎïÌÔ±¦.bt
%Windows%\SetWindowsIndex.reg
%Favorites%\Á´½Ó\4399Ð¡ÓÎÏ·.url
%Favorites%\³£ÓÃ\4399Ð¡ÓÎÏ·.url
%Favorites%\4399Ð¡ÓÎÏ·.url
%Favorites%\Á´½Ó\¸ßÇåµçÓ°.url
%Favorites%\³£ÓÃ\¸ßÇåµçÓ°.url
%Favorites%\¸ßÇåµçÓ°.url
%Favorites%\Á´½Ó\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\³£ÓÃ\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\Á´½Ó\°Ù¶ÈËÑË÷.url
%Favorites%\³£ÓÃ\°Ù¶ÈËÑË÷.url
%Favorites%\°Ù¶ÈËÑË÷.url
%Favorites%\Á´½Ó\ÆðµãÐ¡Ëµ.url
%Favorites%\³£ÓÃ\ÆðµãÐ¡Ëµ.url
%Favorites%\ÆðµãÐ¡Ëµ.url
%Favorites%\Á´½Ó\ÌÔ±¦¹ºÎï.url
%Favorites%\³£ÓÃ\ÌÔ±¦¹ºÎï.url
%Favorites%\ÌÔ±¦¹ºÎï.url
%Favorites%\Á´½Ó\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\³£ÓÃ\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\Á´½Ó\ÍøÖ·´óÈ«.url
%Favorites%\³£ÓÃ\ÍøÖ·´óÈ«.url
%Favorites%\ÍøÖ·´óÈ«.url
%Windows%\MYShowIeLinkIe6.reg
%Windows%\MyShowIeLinkIe7.reg
%Windows%\rhnkzu.vbs
%Common Startup%\360vbs.jse
%Windows%\search.reg
%Windows%\.reg
%User Profile%\Quick Launch\Launch Internet Explorer Browser.lnk
%Windows%\AddRight.reg

Para eliminar los archivos del componente de malware/grayware/spyware:

Haga clic con el botón derecho en Inicio y haga clic en Buscar....
En el cuadro de entrada Nombre, escriba:

%System Root%\88822X2kJQDefem.exe
%System Root%\88822X2kJQDefem.exe.bat
script.exe
script.vbs
reg.bat
regBHO.reg
XlKankan.dll
tao.ico
smss.exe
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\script.exe.bat
%Windows%\20111027\255qLW2AnWq2ewTE\smss.exe.bat
%Windows%\userid.txt
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\Script.vbs.bat
%Windows%\Survival_0.txt
%Common Startup%\ .jse
%Desktop%\Internet Explorer.tt
%Start Menu%\Programs\Internet Explorer.css
%User Profile%\Quick Launch\Internet Explorer.css
%Desktop%\¹ºÎïÌÔ±¦.bt
%Windows%\SetWindowsIndex.reg
%Favorites%\Á´½Ó\4399Ð¡ÓÎÏ·.url
%Favorites%\³£ÓÃ\4399Ð¡ÓÎÏ·.url
%Favorites%\4399Ð¡ÓÎÏ·.url
%Favorites%\Á´½Ó\¸ßÇåµçÓ°.url
%Favorites%\³£ÓÃ\¸ßÇåµçÓ°.url
%Favorites%\¸ßÇåµçÓ°.url
%Favorites%\Á´½Ó\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\³£ÓÃ\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\Á´½Ó\°Ù¶ÈËÑË÷.url
%Favorites%\³£ÓÃ\°Ù¶ÈËÑË÷.url
%Favorites%\°Ù¶ÈËÑË÷.url
%Favorites%\Á´½Ó\ÆðµãÐ¡Ëµ.url
%Favorites%\³£ÓÃ\ÆðµãÐ¡Ëµ.url
%Favorites%\ÆðµãÐ¡Ëµ.url
%Favorites%\Á´½Ó\ÌÔ±¦¹ºÎï.url
%Favorites%\³£ÓÃ\ÌÔ±¦¹ºÎï.url
%Favorites%\ÌÔ±¦¹ºÎï.url
%Favorites%\Á´½Ó\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\³£ÓÃ\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\Á´½Ó\ÍøÖ·´óÈ«.url
%Favorites%\³£ÓÃ\ÍøÖ·´óÈ«.url
%Favorites%\ÍøÖ·´óÈ«.url
%Windows%\MYShowIeLinkIe6.reg
%Windows%\MyShowIeLinkIe7.reg
%Windows%\rhnkzu.vbs
%Common Startup%\360vbs.jse
%Windows%\search.reg
%Windows%\.reg
%User Profile%\Quick Launch\Launch Internet Explorer Browser.lnk
%Windows%\AddRight.reg
En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.
Repita los pasos 2 a 4 con el resto de archivos: %System Root%\88822X2kJQDefem.exe
%System Root%\88822X2kJQDefem.exe.bat
script.exe
script.vbs
reg.bat
regBHO.reg
XlKankan.dll
tao.ico
smss.exe
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\script.exe.bat
%Windows%\20111027\255qLW2AnWq2ewTE\smss.exe.bat
%Windows%\userid.txt
%Windows%\20111027\j8J55dQ2aWJl8hdb\script\Script.vbs.bat
%Windows%\Survival_0.txt
%Common Startup%\ .jse
%Desktop%\Internet Explorer.tt
%Start Menu%\Programs\Internet Explorer.css
%User Profile%\Quick Launch\Internet Explorer.css
%Desktop%\¹ºÎïÌÔ±¦.bt
%Windows%\SetWindowsIndex.reg
%Favorites%\Á´½Ó\4399Ð¡ÓÎÏ·.url
%Favorites%\³£ÓÃ\4399Ð¡ÓÎÏ·.url
%Favorites%\4399Ð¡ÓÎÏ·.url
%Favorites%\Á´½Ó\¸ßÇåµçÓ°.url
%Favorites%\³£ÓÃ\¸ßÇåµçÓ°.url
%Favorites%\¸ßÇåµçÓ°.url
%Favorites%\Á´½Ó\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\³£ÓÃ\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\ÎÞÆÁ±ÎËÑË÷.url
%Favorites%\Á´½Ó\°Ù¶ÈËÑË÷.url
%Favorites%\³£ÓÃ\°Ù¶ÈËÑË÷.url
%Favorites%\°Ù¶ÈËÑË÷.url
%Favorites%\Á´½Ó\ÆðµãÐ¡Ëµ.url
%Favorites%\³£ÓÃ\ÆðµãÐ¡Ëµ.url
%Favorites%\ÆðµãÐ¡Ëµ.url
%Favorites%\Á´½Ó\ÌÔ±¦¹ºÎï.url
%Favorites%\³£ÓÃ\ÌÔ±¦¹ºÎï.url
%Favorites%\ÌÔ±¦¹ºÎï.url
%Favorites%\Á´½Ó\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\³£ÓÃ\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\ÍøÂç´´ÒµÃØ¼®.url
%Favorites%\Á´½Ó\ÍøÖ·´óÈ«.url
%Favorites%\³£ÓÃ\ÍøÖ·´óÈ«.url
%Favorites%\ÍøÖ·´óÈ«.url
%Windows%\MYShowIeLinkIe6.reg
%Windows%\MyShowIeLinkIe7.reg
%Windows%\rhnkzu.vbs
%Common Startup%\360vbs.jse
%Windows%\search.reg
%Windows%\.reg
%User Profile%\Quick Launch\Launch Internet Explorer Browser.lnk
%Windows%\AddRight.reg

Step 9

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como TROJ_DROPPR.SMAB En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Step 10

Restaurar este archivo a partir de una copia de seguridad Solo se pueden restaurar los archivos relacionados con Microsoft. En caso de que este malware/grayware/spyware también haya eliminado archivos relativos a programas que no sean de Microsoft, vuelva a instalar los programas en cuestión en el equipo. %Start Menu%\Programs\Internet Explorer.lnk

Did this description help? Tell us how we did.

TROJ_DROPPR.SMAB

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

TROJ_DROPPR.SMAB

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

Северная и Южная Америка

Ближний Восток и Африка

Европа

Азиатско-Тихоокеанский регион