TROJ_FAKEAV.SM63

Publish Date: 13 de июля de 2013

Author: Nikko Tamana

PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

OVER ALL RISK RATING:

DAMAGE POTENTIAL::

DISTRIBUTION POTENTIAL::

REPORTED INFECTION:

Low

Medium

High

Critical

Threat Type:
Trojan
Destructiveness:
No
Encrypted:
In the wild::
Yes

OVERVIEW

Se ejecuta y, a continuación, se elimina.

TECHNICAL DETAILS

File size: 875,008 bytes

File type: DLL

INITIAL SAMPLES RECEIVED DATE: 29 de мая de 2013

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

%All Users Profile%\Application Data\amsecure.exe
%All Users Profile%\Desktop\Internet Security 2013.lnk
%User Temp%\7.tmp
%User Temp%\8.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Se ejecuta y, a continuación, se elimina.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager
PendingFileRenameOperations = "\??\%User Temp%\8.tmp"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths
Directory = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path1
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache1"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path2
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache2"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache2.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path3
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache3"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache3.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path4
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache4"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache4.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\0001\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\Current\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
AppData = "%System Root%\Documents and Settings\LocalService\Application Data"

(Note: The default value data of the said registry entry is %System Root%\Documents and Settings\NetworkService\Application Data.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cookies = "%System Root%\Documents and Settings\LocalService\Cookies"

(Note: The default value data of the said registry entry is %System Root%\Documents and Settings\NetworkService\Cookies.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cache = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files"

(Note: The default value data of the said registry entry is %System Root%\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
History = "%System Root%\Documents and Settings\LocalService\Local Settings\History"

(Note: The default value data of the said registry entry is %System Root%\Documents and Settings\NetworkService\Local Settings\History.)

HKEY_CURRENT_CONFIG\Software\Microsoft\
windows\CurrentVersion\Internet Settings
ProxyEnable = "0"

(Note: The default value data of the said registry entry is 1.)

SOLUTION

Minimum scan engine: 9.300

First VSAPI Pattern File: 9.948.08

First VSAPI Pattern Release Date: 29 de мая de 2013

VSAPI OPR PATTERN-VERSION: 9.949.00

VSAPI OPR PATTERN DATE: 30 de мая de 2013

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
- PendingFileRenameOperations = "\??\%User Temp%\8.tmp"

DATA_TEXTBOX

Cierre el Editor del Registro.

Step 3

Restaurar este valor del Registro modificado

[ learnMore ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths
- From: Directory = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5"
  To: Directory = "%Temporary Internet Files%\Content.IE5"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path1
- From: CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache1"
  To: CachePath = "%Temporary Internet Files%\Content.IE5\Cache1"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path2
- From: CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache2"
  To: CachePath = "%Temporary Internet Files%\Content.IE5\Cache2"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path3
- From: CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache3"
  To: CachePath = "%Temporary Internet Files%\Content.IE5\Cache3"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path4
- From: CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache4"
  To: CachePath = "%Temporary Internet Files%\Content.IE5\Cache4"
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings
- From: ProxyEnable = "0"
  To: ProxyEnable = "1"
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current\Software\Microsoft\windows\CurrentVersion\Internet Settings
- From: ProxyEnable = "0"
  To: ProxyEnable = "1"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- From: AppData = "%System Root%\Documents and Settings\LocalService\Application Data"
  To: AppData = "%System Root%\Documents and Settings\NetworkService\Application Data"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- From: Cookies = "%System Root%\Documents and Settings\LocalService\Cookies"
  To: Cookies = "%System Root%\Documents and Settings\NetworkService\Cookies"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- From: Cache = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files"
  To: Cache = "%System Root%\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files"
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- From: History = "%System Root%\Documents and Settings\LocalService\Local Settings\History"
  To: History = "%System Root%\Documents and Settings\NetworkService\Local Settings\History"
In HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\Internet Settings
- From: ProxyEnable = "0"
  To: ProxyEnable = "1"

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Internet Settings>Cache>Paths
En el panel derecho, busque este valor del Registro:
Directory = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Directory = "%Temporary Internet Files%\Content.IE5"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Internet Settings>Cache>Paths>path1
En el panel derecho, busque este valor del Registro:
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache1"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
CachePath = "%Temporary Internet Files%\Content.IE5\Cache1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Internet Settings>Cache>Paths>path2
En el panel derecho, busque este valor del Registro:
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache2"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
CachePath = "%Temporary Internet Files%\Content.IE5\Cache2"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Internet Settings>Cache>Paths>path3
En el panel derecho, busque este valor del Registro:
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache3"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
CachePath = "%Temporary Internet Files%\Content.IE5\Cache3"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Internet Settings>Cache>Paths>path4
En el panel derecho, busque este valor del Registro:
CachePath = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Cache4"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
CachePath = "%Temporary Internet Files%\Content.IE5\Cache4"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Hardware Profiles>0001>Software>Microsoft>windows>CurrentVersion>Internet Settings
En el panel derecho, busque este valor del Registro:
ProxyEnable = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
ProxyEnable = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Hardware Profiles>Current>Software>Microsoft>windows>CurrentVersion>Internet Settings
En el panel derecho, busque este valor del Registro:
ProxyEnable = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
ProxyEnable = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_USERS>.DEFAULT>Software>Microsoft>Windows>CurrentVersion>Explorer>Shell Folders
En el panel derecho, busque este valor del Registro:
AppData = "%System Root%\Documents and Settings\LocalService\Application Data"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
AppData = "%System Root%\Documents and Settings\NetworkService\Application Data"
Again En el panel derecho, busque este valor del Registro:
Cookies = "%System Root%\Documents and Settings\LocalService\Cookies"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Cookies = "%System Root%\Documents and Settings\NetworkService\Cookies"
Again En el panel derecho, busque este valor del Registro:
Cache = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Cache = "%System Root%\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files"
Again En el panel derecho, busque este valor del Registro:
History = "%System Root%\Documents and Settings\LocalService\Local Settings\History"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
History = "%System Root%\Documents and Settings\NetworkService\Local Settings\History"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_CONFIG>Software>Microsoft>windows>CurrentVersion>Internet Settings
En el panel derecho, busque este valor del Registro:
ProxyEnable = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
ProxyEnable = "1"
Cierre el Editor del Registro.

Step 4

Buscar y eliminar estos archivos

[ learnMore ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

%All Users Profile%\Application Data\amsecure.exe
%All Users Profile%\Desktop\Internet Security 2013.lnk
%User Temp%\7.tmp
%User Temp%\8.tmp

DATA_GENERIC_FILENAME_1

En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.

Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.

Repita los pasos 2 a 4 con el resto de archivos: %All Users Profile%\Application Data\amsecure.exe
%All Users Profile%\Desktop\Internet Security 2013.lnk
%User Temp%\7.tmp
%User Temp%\8.tmp

Step 5

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TROJ_FAKEAV.SM63 En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Did this description help? Tell us how we did.

TROJ_FAKEAV.SM63

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

TROJ_FAKEAV.SM63

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

Северная и Южная Америка

Ближний Восток и Африка

Европа

Азиатско-Тихоокеанский регион