¿Necesita arreglar su PC?
Contrate un experto
Nombre:TR/FakeAV.oke
Descubierto:06/12/2011
Tipo:Troyano
En circulación (ITW):Sí
Número de infecciones comunicadas:Bajo
Potencial de propagación:Bajo
Potencial dañino:Medio
Fichero estático:Sí
Tamaño:445.576 Bytes
Suma de control MD5:7a14060028698e2a2c5c64eb262c6868
Versión del VDF:7.11.19.02 - martes, 6 de diciembre de 2011
Versión del IVDF:7.11.19.02 - martes, 6 de diciembre de 2011

 General Método de propagación:
   • No tiene rutina propia de propagación


Alias:
   •  Kaspersky: Trojan.Win32.Jorik.Fraud.jor
   •  Eset: Win32/Kryptik.WTQ


Plataformas / Sistemas operativos:
   • Windows XP
   • Windows 2003
   • Windows Vista
   • Windows Server 2008
   • Windows 7


Efectos secundarios:
   • Descarga un fichero
   • Descarga un fichero dañino
   • Falsley informa sobre la infección del malware o sobre los problemas del sistema, y ofrece la opción de arreglarlos si el usuario adquiere la aplicación.
   • Modificaciones en el registro


Inmediatamente después de su ejecución, muestra la siguiente información:



 Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %APPDATA%\gPtgkqBGrot.exe
Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral.



Intenta descargar un fichero:

– La dirección es la siguiente:
   • http://danelubinnalas.com/?ylO**********
El fichero está guardado en el disco duro en: %TEMPDIR%\%serie de caracteres aleatorios%.exe Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Crypt.XPACK.Gen

 Registro Añade las siguientes claves al registro:

– [HKCU\Control Panel]
   • "nsreg"="dword:0x4ee4fbe1"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   • "Start_ShowControlPanel"="dword:0x00000000"
   • "Start_ShowHelp"="dword:0x00000000"
   • "Start_ShowMyComputer"="dword:0x00000000"
   • "Start_ShowMyDocs"="dword:0x00000000"
   • "Start_ShowMyGames"="dword:0x00000000"
   • "Start_ShowMyMusic"="dword:0x00000000"
   • "Start_ShowMyPics"="dword:0x00000000"
   • "Start_ShowNetConn"="dword:0x00000000"
   • "Start_ShowNetPlaces"="dword:0x00000000"
   • "Start_ShowPrinters"="dword:0x00000000"
   • "Start_ShowRecentDocs"="dword:0x00000000"
   • "Start_ShowRun"="dword:0x00000000"
   • "Start_ShowSearch"="dword:0x00000000"
   • "Start_ShowSetProgramAccessAndDefaults"="dword:0x00000000"
   • "Start_ShowUser"="dword:0x00000000"
   • "TaskbarGlomLevel"="dword:0x00000002"
   • "TaskbarGlomming"="dword:0x00000000"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer]
   • "EnableAutoTray"="dword:0x00000000"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband]
   • ""=""
   • "_Favorites"=""

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
   ActiveDesktop]
   • ""=""
   • "HidNoChangingWallPaperden"="dword:0x00000001"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
   Associations]
   • ""=""
   • "LowRiskFileTypess"=".zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;.scr;"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
   Attachments]
   • ""=""
   • "SaveZoneInformation"="dword:0x00000001"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NoDesktop"="dword:0x00000001"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • ""=""
   • "DisableTaskMgr"="dword:0x00000001"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
   • "DisableTaskMgr"="dword:0x00000001"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "gPtgkqBGrot.exe"="C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gPtgkqBGrot.exe"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\
   Control Panel]
   • "5761b2dc-ce77-4bfa-b965-6f33b1867cf2"=""
   • "7f6b3266-31c5-43a8-9547-e7911ad6fb33"=""
   • "nsreg"="dword:0x4ee4fbe1"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   • "Start_ShowControlPanel"="dword:0x00000000"
   • "Start_ShowHelp"="dword:0x00000000"
   • "Start_ShowMyComputer"="dword:0x00000000"
   • "Start_ShowMyDocs"="dword:0x00000000"
   • "Start_ShowMyGames"="dword:0x00000000"
   • "Start_ShowMyMusic"="dword:0x00000000"
   • "Start_ShowMyPics"="dword:0x00000000"
   • "Start_ShowNetConn"="dword:0x00000000"
   • "Start_ShowNetPlaces"="dword:0x00000000"
   • "Start_ShowPrinters"="dword:0x00000000"
   • "Start_ShowRecentDocs"="dword:0x00000000"
   • "Start_ShowRun"="dword:0x00000000"
   • "Start_ShowSearch"="dword:0x00000000"
   • "Start_ShowSetProgramAccessAndDefaults"="dword:0x00000000"
   • "Start_ShowUser"="dword:0x00000000"
   • "TaskbarGlomLevel"="dword:0x00000002"
   • "TaskbarGlomming"="dword:0x00000000"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Explorer]
   • "EnableAutoTray"="dword:0x00000000"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Explorer\Taskband]
   • ""=""
   • "_Favorites"=""

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop]
   • ""=""
   • "HidNoChangingWallPaperden"="dword:0x00000001"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Policies\Associations]
   • ""=""
   • "LowRiskFileTypess"=".zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;.scr;"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Policies\Attachments]
   • ""=""
   • "SaveZoneInformation"="dword:0x00000001"
   •

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NoDesktop"="dword:0x00000001"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Policies\System]
   • ""=""
   • "DisableTaskMgr"="dword:0x00000001"



Modifica las siguientes claves del registro:

– [HKCU\Software\Microsoft\Internet Explorer\Download]
   Valor anterior:
   • "CheckExeSignatures"="yes"
   Nuevo valor:
   • "CheckExeSignatures"="no"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor anterior:
   • "Hidden"="dword:0x00000001"
   Nuevo valor:
   • "Hidden"="dword:0x00000000"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Internet Explorer\Download]
   Valor anterior:
   • "CheckExeSignatures"="yes"
   Nuevo valor:
   • "CheckExeSignatures"="no"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor anterior:
   • "Hidden"="dword:0x00000001"
   Nuevo valor:
   • "Hidden"="dword:0x00000000"
   Nuevo valor:
   • "Order"="hex:08,00,00,00,02,00,00,00,0c,00,00,00,01,00,00,00,00,00,00,00"
   Valor anterior:
   • "Favorites"="hex:00,16,00,00,00,14,00,1f,80,f4,a1,59,25,d7,21,d4,11,bd,af,00,c0,\
   • ,4f,60,b9,f0,00,00,00,16,00,00,00,14,00,1f,80,f5,a1,59,25,d7,\
   • ,21,d4,11,bd,af,00,c0,4f,60,b9,f0,00,00,ff"

– [HKEY_USERS\S-1-5-21-606747145-1647877149-1801674531-500\Software\
   Microsoft\Windows\CurrentVersion\Explorer\StartPage]
   Valor anterior:
   • "StartMenu_Balloon_Time"="hex:3a,3c,36,65,63,bd,cb,01"
   Nuevo valor:
   • "StartMenu_Balloon_Time"="hex:68,b1,42,69,36,b8,cc,01"

 Finalización de los procesos El siguiente proceso es finalizado:
   • %todos los procesos activos%


 Informaciones diversas Accede a recursos de Internet:
   • http://stepinstoneuse.com/**********.php?0Q9**********
   • http://danelubinnalas.com/?ylO**********

 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en MS Visual C++.

Descripción insertada por Martin Muench el viernes, 9 de diciembre de 2011
Descripción actualizada por Martin Muench el martes, 20 de diciembre de 2011

Volver . . . .
 
 
 
 

© 2013 Avira Operations GmbH & Co. KG. Todos los derechos reservados.

Mi Cuenta

https:// Esta ventana está cifrada para su seguridad.