Trojan.BAT.POWLOAD.M

Publish Date: 31 de марта de 2025

Author: John Rainier Navato

Trojan.PowerShell.Agent (IKARUS)

PLATFORM:

Windows

OVER ALL RISK RATING:

DAMAGE POTENTIAL::

DISTRIBUTION POTENTIAL::

REPORTED INFECTION:

INFORMATION EXPOSURE:

Low

Medium

High

Critical

Threat Type:
Trojan
Destructiveness:
No
Encrypted:
In the wild::
Yes

OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

TECHNICAL DETAILS

File size: 6,824 bytes

File type: Other

Memory resident: Yes

INITIAL SAMPLES RECEIVED DATE: 26 марта 2025

PAYLOAD: Connects to URLs/IPs, Drops files, Modifies system registry

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

%Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.temp
%Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.customDestinations-ms~{Random}.TMP
%Application Data%\Kollegiebyggerier.Pau
% Internet Files%\Content.IE5\{Random}\json[1].gp
%Application Data%\lamourtesy.dat

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Agrega los procesos siguientes:

powershell.exe -windowstyle hidden {Obfuscated Powershell Command}
%System%\msiexec.exe
%System%\cmd.exe /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "Counterreplying83" /t REG_EXPAND_SZ /d "%Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKCU:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Counterreplying83 = %Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKEY_CURRENT_USER:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
LanguageList = en-US, en

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\AccessibilityCpl.dll,-10 = Ease of Access Center

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\ie4uinit.exe,-737 = Internet Explorer (No Add-ons)

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\wucltux.dll,-1 = Windows Update

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Windows%\ehome\ehres.dll,-100 = Windows Media Center

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\Windows Sidebar\sidebar.exe,-1005 = Desktop Gadget Gallery

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\DVD Maker\DVDMaker.exe,-61403 = Windows DVD Maker

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\Common Files\Microsoft Shared\Ink\mip.exe,-291 = Math Input Panel

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\mblctr.exe,-1008 = Windows Mobility Center

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\NetProjW.dll,-501 = Connect to a Network Projector

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\mstsc.exe,-4000 = Remote Desktop Connection

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\SoundRecorder.exe,-100 = Sound Recorder

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\SyncCenter.dll,-3000 = Sync Center

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\Speech\SpeechUX\sapi.cpl,-5555 = Windows Speech Recognition

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\dfrgui.exe,-103 = Disk Defragmenter

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\wdc.dll,-10030 = Resource Monitor

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\msinfo32.exe,-100 = System Information

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\rstrui.exe,-100 = System Restore

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\miguiresource.dll,-201 = Task Scheduler

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\migwiz\wet.dll,-591 = Windows Easy Transfer Reports

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\migwiz\wet.dll,-588 = Windows Easy Transfer

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\Common Files\Microsoft Shared\Ink\ShapeCollector.exe,-298 = Personalize Handwriting Recognition

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\Common Files\Microsoft Shared\Ink\TipTsf.dll,-80 = Tablet PC Input Panel

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%Program Files%\Windows Journal\Journal.exe,-3074 = Windows Journal

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\WindowsPowerShell\v1.0\powershell.exe,-101 = Windows PowerShell ISE

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\comres.dll,-3410 = Component Services

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\mycomput.dll,-300 = Computer Management

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\odbcint.dll,-1310 = Data Sources (ODBC)

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\miguiresource.dll,-101 = Event Viewer

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\iscsicpl.dll,-5001 = iSCSI Initiator

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\MdSched.exe,-4001 = Windows Memory Diagnostic

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\wdc.dll,-10021 = Performance Monitor

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\pmcsnap.dll,-700 = Print Management

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\wsecedit.dll,-718 = Local Security Policy

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\filemgmt.dll,-2204 = Services

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\msconfig.exe,-126 = System Configuration

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\AuthFWGP.dll,-20 = Windows Firewall with Advanced Security

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\gameux.dll,-10082 = Games Explorer

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\sdcpl.dll,-101 = Backup and Restore

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\recdisc.exe,-2000 = Create a System Repair Disc

HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\
MuiCache\44\52C64B7E
@%System%\msra.exe,-100 = Windows Remote Assistance

HKEY_CURRENT_USER\Environment
Lunaria = %System%\WindowsPowerShell\v1.0\powershell.exe

HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
exepath = {Hex Values}

HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
licence = BBA2FC804C4F253162217A6FFC73E369

HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
time = 1743220494

HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
UID = 506762904

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software
Komprimeringerne =

HKEY_CURRENT_USER\Software
juynvfpoils-YFZCIY =

It connects to the following possibly malicious URL:

https://{BLOCKED}n.com
https://{BLOCKED}an.com/wp-content/Caweel1.png
https://{BLOCKED}n.com/wp-content/Caweel4.png
http://{BLOCKED}indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?70863a9a3c1d7d00

SOLUTION

Minimum scan engine: 9.800

First VSAPI Pattern File: 20.106.01

First VSAPI Pattern Release Date: 26 de марта de 2025

VSAPI OPR PATTERN-VERSION: 20.107.00

VSAPI OPR PATTERN DATE: 27 de марта de 2025

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 3

Reiniciar en modo seguro

[ learnMore ]

Step 4

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- LanguageList = en-US, en
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\AccessibilityCpl.dll,-10 = Ease of Access Center
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\ie4uinit.exe,-737 = Internet Explorer (No Add-ons)
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\wucltux.dll,-1 = Windows Update
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Windows%\ehome\ehres.dll,-100 = Windows Media Center
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\Windows Sidebar\sidebar.exe,-1005 = Desktop Gadget Gallery
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\DVD Maker\DVDMaker.exe,-61403 = Windows DVD Maker
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\Common Files\Microsoft Shared\Ink\mip.exe,-291 = Math Input Panel
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\mblctr.exe,-1008 = Windows Mobility Center
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\NetProjW.dll,-501 = Connect to a Network Projector
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\mstsc.exe,-4000 = Remote Desktop Connection
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\SoundRecorder.exe,-100 = Sound Recorder
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\SyncCenter.dll,-3000 = Sync Center
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\Speech\SpeechUX\sapi.cpl,-5555 = Windows Speech Recognition
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\dfrgui.exe,-103 = Disk Defragmenter
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\wdc.dll,-10030 = Resource Monitor
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\msinfo32.exe,-100 = System Information
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\rstrui.exe,-100 = System Restore
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\miguiresource.dll,-201 = Task Scheduler
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\migwiz\wet.dll,-591 = Windows Easy Transfer Reports
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\migwiz\wet.dll,-588 = Windows Easy Transfer
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\Common Files\Microsoft Shared\Ink\ShapeCollector.exe,-298 = Personalize Handwriting Recognition
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\Common Files\Microsoft Shared\Ink\TipTsf.dll,-80 = Tablet PC Input Panel
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%Program Files%\Windows Journal\Journal.exe,-3074 = Windows Journal
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\WindowsPowerShell\v1.0\powershell.exe,-101 = Windows PowerShell ISE
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\comres.dll,-3410 = Component Services
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\mycomput.dll,-300 = Computer Management
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\odbcint.dll,-1310 = Data Sources (ODBC)
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\miguiresource.dll,-101 = Event Viewer
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\iscsicpl.dll,-5001 = iSCSI Initiator
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\MdSched.exe,-4001 = Windows Memory Diagnostic
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\wdc.dll,-10021 = Performance Monitor
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\pmcsnap.dll,-700 = Print Management
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\wsecedit.dll,-718 = Local Security Policy
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\filemgmt.dll,-2204 = Services
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\msconfig.exe,-126 = System Configuration
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\AuthFWGP.dll,-20 = Windows Firewall with Advanced Security
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\gameux.dll,-10082 = Games Explorer
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\sdcpl.dll,-101 = Backup and Restore
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\recdisc.exe,-2000 = Create a System Repair Disc
In HKEY_USER\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\Local Settings\MuiCache\44\52C64B7E
- @%System%\msra.exe,-100 = Windows Remote Assistance
In HKEY_CURRENT_USER\Environment
- Lunaria = %System%\WindowsPowerShell\v1.0\powershell.exe
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Counterreplying83 = %Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKEY_CURRENT_USER:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)
In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
- exepath = {Hex Values}
In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
- licence = BBA2FC804C4F253162217A6FFC73E369
In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
- time = 1743220494
In HKEY_CURRENT_USER\Software\juynvfpoils-YFZCIY
- UID = 506762904

Para eliminar el valor del Registro que este malware ha creado:

Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_USER>S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES>Local Settings>MuiCache>44>52C64B7E
En el panel derecho, busque y elimine la entrada:
LanguageList = en-US, en
En el panel derecho, busque y elimine la entrada:
@%System%\AccessibilityCpl.dll,-10 = Ease of Access Center
En el panel derecho, busque y elimine la entrada:
@%System%\ie4uinit.exe,-737 = Internet Explorer (No Add-ons)
En el panel derecho, busque y elimine la entrada:
@%System%\wucltux.dll,-1 = Windows Update
En el panel derecho, busque y elimine la entrada:
@%Windows%\ehome\ehres.dll,-100 = Windows Media Center
En el panel derecho, busque y elimine la entrada:
@%Program Files%\Windows Sidebar\sidebar.exe,-1005 = Desktop Gadget Gallery
En el panel derecho, busque y elimine la entrada:
@%Program Files%\DVD Maker\DVDMaker.exe,-61403 = Windows DVD Maker
En el panel derecho, busque y elimine la entrada:
@%Program Files%\Common Files\Microsoft Shared\Ink\mip.exe,-291 = Math Input Panel
En el panel derecho, busque y elimine la entrada:
@%System%\mblctr.exe,-1008 = Windows Mobility Center
En el panel derecho, busque y elimine la entrada:
@%System%\NetProjW.dll,-501 = Connect to a Network Projector
En el panel derecho, busque y elimine la entrada:
@%System%\mstsc.exe,-4000 = Remote Desktop Connection
En el panel derecho, busque y elimine la entrada:
@%System%\SoundRecorder.exe,-100 = Sound Recorder
En el panel derecho, busque y elimine la entrada:
@%System%\SyncCenter.dll,-3000 = Sync Center
En el panel derecho, busque y elimine la entrada:
@%System%\Speech\SpeechUX\sapi.cpl,-5555 = Windows Speech Recognition
En el panel derecho, busque y elimine la entrada:
@%System%\dfrgui.exe,-103 = Disk Defragmenter
En el panel derecho, busque y elimine la entrada:
@%System%\wdc.dll,-10030 = Resource Monitor
En el panel derecho, busque y elimine la entrada:
@%System%\msinfo32.exe,-100 = System Information
En el panel derecho, busque y elimine la entrada:
@%System%\rstrui.exe,-100 = System Restore
En el panel derecho, busque y elimine la entrada:
@%System%\miguiresource.dll,-201 = Task Scheduler
En el panel derecho, busque y elimine la entrada:
@%System%\migwiz\wet.dll,-591 = Windows Easy Transfer Reports
En el panel derecho, busque y elimine la entrada:
@%System%\migwiz\wet.dll,-588 = Windows Easy Transfer
En el panel derecho, busque y elimine la entrada:
@%Program Files%\Common Files\Microsoft Shared\Ink\ShapeCollector.exe,-298 = Personalize Handwriting Recognition
En el panel derecho, busque y elimine la entrada:
@%Program Files%\Common Files\Microsoft Shared\Ink\TipTsf.dll,-80 = Tablet PC Input Panel
En el panel derecho, busque y elimine la entrada:
@%Program Files%\Windows Journal\Journal.exe,-3074 = Windows Journal
En el panel derecho, busque y elimine la entrada:
@%System%\WindowsPowerShell\v1.0\powershell.exe,-101 = Windows PowerShell ISE
En el panel derecho, busque y elimine la entrada:
@%System%\comres.dll,-3410 = Component Services
En el panel derecho, busque y elimine la entrada:
@%System%\mycomput.dll,-300 = Computer Management
En el panel derecho, busque y elimine la entrada:
@%System%\odbcint.dll,-1310 = Data Sources (ODBC)
En el panel derecho, busque y elimine la entrada:
@%System%\miguiresource.dll,-101 = Event Viewer
En el panel derecho, busque y elimine la entrada:
@%System%\iscsicpl.dll,-5001 = iSCSI Initiator
En el panel derecho, busque y elimine la entrada:
@%System%\MdSched.exe,-4001 = Windows Memory Diagnostic
En el panel derecho, busque y elimine la entrada:
@%System%\wdc.dll,-10021 = Performance Monitor
En el panel derecho, busque y elimine la entrada:
@%System%\pmcsnap.dll,-700 = Print Management
En el panel derecho, busque y elimine la entrada:
@%System%\wsecedit.dll,-718 = Local Security Policy
En el panel derecho, busque y elimine la entrada:
@%System%\filemgmt.dll,-2204 = Services
En el panel derecho, busque y elimine la entrada:
@%System%\msconfig.exe,-126 = System Configuration
En el panel derecho, busque y elimine la entrada:
@%System%\AuthFWGP.dll,-20 = Windows Firewall with Advanced Security
En el panel derecho, busque y elimine la entrada:
@%System%\gameux.dll,-10082 = Games Explorer
En el panel derecho, busque y elimine la entrada:
@%System%\sdcpl.dll,-101 = Backup and Restore
En el panel derecho, busque y elimine la entrada:
@%System%\recdisc.exe,-2000 = Create a System Repair Disc
En el panel derecho, busque y elimine la entrada:
@%System%\msra.exe,-100 = Windows Remote Assistance
En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Environment
En el panel derecho, busque y elimine la entrada:
Lunaria = %System%\WindowsPowerShell\v1.0\powershell.exe
En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
En el panel derecho, busque y elimine la entrada:
Counterreplying83 = %Lunaria% -windowstyle 1 $Trykkammerets=(gi 'HKEY_CURRENT_USER:\Software\Komprimeringerne\').GetValue('Missionshotellet');%Lunaria% ($Trykkammerets)
En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>juynvfpoils-YFZCIY
En el panel derecho, busque y elimine la entrada:
exepath = {Hex Values}
En el panel derecho, busque y elimine la entrada:
licence = BBA2FC804C4F253162217A6FFC73E369
En el panel derecho, busque y elimine la entrada:
time = 1743220494
En el panel derecho, busque y elimine la entrada:
UID = 506762904
Cierre el Editor del Registro.

Step 5

Eliminar esta clave del Registro

[ learnMore ]

In HKEY_CURRENT_USER\Software
- juynvfpoils-YFZCIY
In HKEY_CURRENT_USER\Software
- Komprimeringerne

Step 6

Buscar y eliminar estos archivos

[ learnMore ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

%Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.temp

%Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.customDestinations-ms~{Random}.TMP

%Application Data%\Kollegiebyggerier.Pau

%Internet Files%\Content.IE5\{Random}\json[1].gp

%Application Data%\lamourtesy.dat

DATA_GENERIC_FILENAME_1

En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.

Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.

Repita los pasos 2 a 4 con el resto de archivos: %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.temp
%Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random}.customDestinations-ms~{Random}.TMP
%Application Data%\Kollegiebyggerier.Pau
%Internet Files%\Content.IE5\{Random}\json[1].gp
%Application Data%\lamourtesy.dat

Step 7

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Trojan.BAT.POWLOAD.M En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Did this description help? Tell us how we did.

Trojan.BAT.POWLOAD.M

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

Trojan.BAT.POWLOAD.M

OVERVIEW

TECHNICAL DETAILS

SOLUTION

Ресурсы

Поддержка

О компании Trend

Северная и Южная Америка

Ближний Восток и Африка

Европа

Азиатско-Тихоокеанский регион