Analisado por: Kathleen Notario   
 Modificado por: : Christopher Daniel So
 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
 Exposi??o das informa??es:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    File infector

  • Destrutivo:
    N?o

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Vis?o geral

Canal de infec??o: Infiziert Dateien, Kopiert sich selbst auf alle verf¨¹gbaren

Schleust Eigenkopien in alle Wechsel- und Festplattenlaufwerke des Systems ein. Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuf¨¹hren, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

  Detalhes t¨¦cnicos

Tipo de compacta??o: ³Õ²¹°ù¨ª²¹
Tipo de arquivo: PE
Residente na mem¨®ria: Sim
Data de recebimento das amostras iniciais: 21 agosto 2010
Carga ¨²til: Drops files, Connects to URLs/IPs

Autostart-Technik

Registriert die eigene eingeschleuste Komponente als Systemdienst, um zu gew?hrleisten, dass diese bei jedem Systemstart automatisch ausgef¨¹hrt wird. Erstellt daf¨¹r die folgenden Registrierungseintr?ge:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\amsint32
Type = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\amsint32
Start = "3"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\amsint32
ErrorControl = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\amsint32
ImagePath = "\??\%System%\drivers\{random file name}.sys"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\amsint32
DisplayName = "amsint32"

Andere System?nderungen

F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:

HKEY_CURRENT_USER\Software\{random characters}

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:Enabled:ipsec"

?ndert die folgenden Registrierungseintr?ge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(Note: The default value data of the said registry entry is 1.)

Dateiinfektion

Infiziert die folgenden Dateitypen:

  • .EXE
  • .SCR

Verbreitung

Schleust Eigenkopien in alle Wechsel- und Festplattenlaufwerke des Systems ein.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuf¨¹hren, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enth?lt die folgenden Zeichenfolgen:

[AutoRun];
{garbage characters}
shELl\\EXplOrE\\cOmMand= {random file name}.exe;
{garbage characters}
sheLL\\OPen\\cOMMaND= {random file name}.exe;
{garbage characters}
shEll\\open\\DefAuLt=1;
{garbage characters}
OPen= {random file name}.exe;
{garbage characters}
shelL\\aUToPLAy\\command = {random file name}.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

  • %System%\drivers\{random file name}.sys - detected as RTKT_SALITY.BA

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

  Solu??o

Mecanismo de varredura m¨ªnima: 8.900

Step 1

HINWEISE ZUR AUTOMATISCHEN ENTFERNUNG

Um diese Malware automatisch aus Ihrem System zu entfernen, verwenden Sie bitte das spezielle , damit der gesamte Computer durchsucht werden kann.

Step 3

Dateien erkennen und deaktivieren, die als PE_SALITY.RL entdeckt wurden

[ Saber mais ]
  1. ¹ó¨¹°ù Windows 98 und ME Benutzer: Der Windows Task-Manager zeigt m?glicherweise nicht alle aktiven Prozesse an. Verwenden Sie in diesem Fall einen Prozess-Viewer eines Drittanbieters, vorzugsweise Process Explorer, um die Malware-/Grayware-/Spyware-Datei zu beenden. Dieses Tool k?nnen Sie .
    2. herunterladen.
  2. Wenn die entdeckte Datei im Windows Task-Manager oder Process Explorer angezeigt wird, aber nicht gel?scht werden kann, starten Sie Ihren Computer im abgesicherten Modus neu. Klicken Sie auf diesen Link, um alle erforderlichen Schritte anzuzeigen.
  3. Wenn die entdeckte Datei nicht im Windows Task-Manager oder im Process Explorer angezeigt wird, fahren Sie mit den n?chsten Schritten fort.

Step 4

Diesen Registrierungswert l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UacDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusOverride =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallOverride =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UacDisableNotify?=?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UpdatesDisableNotify =?"1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA =?"0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall =?"0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DoNotAllowExceptions =?"0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DisableNotifications =?"1"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • {malware path and file name} =?"{malware path and file name}:*:Enabled:ipsec"
  • In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\amsint32
    • Type =?"1"
  • In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\amsint32
    • Start =?"3"
  • In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\amsint32
    • ErrorControl =?"1"
  • In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\amsint32
    • ImagePath =?"\??\%System%\drivers\{random file name}.sys"
  • In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\amsint32
    • DisplayName =?"amsint32"
DATA_GENERIC_KEY
  • Suchen und l?schen Sie im rechten Fensterbereich den folgenden Eintrag:
    DATA_GENERIC_ENTRY
  • Schlie?en Sie den Registrierungs-Editor.

    • Step 5

    Diesen Registrierungsschl¨¹ssel l?schen

    [ Saber mais ]

    Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

    • In HKEY_CURRENT_USER\Software
      • {random characters}

    Step 6

    Diesen ge?nderten Registrierungswert wiederherstellen

    [ Saber mais ]

    Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

    • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
      • From: Hidden = "2"
        To: Hidden =?"1"

    Step 7

    AUTORUN.INF Dateien suchen und l?schen, die von PE_SALITY.RL erstellt wurden und diese Zeichenfolgen enthalten

    [ Saber mais ]
    [AutoRun];
    {garbage characters}
    shELl\EXplOrE\cOmMand= {random file name}.exe;
    {garbage characters}
    sheLL\OPen\cOMMaND= {random file name}.exe;
    {garbage characters}
    shEll\open\DefAuLt=1;
    {garbage characters}
    OPen= {random file name}.exe;
    {garbage characters}
    shelL\aUToPLAy\command = {random file name}.exe

    Step 8

    Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als PE_SALITY.RL entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.


    Participe da nossa pesquisa!

    Arquivo correspondente