live casino online

Puede haberlo infiltrado otro malware.

Este malware no tiene ninguna rutina de propagaci¨®n.

Este malware no tiene ninguna rutina de puerta trasera.

Si el usuario accede a comprar el software, se conecta a una URL determinada. Muestra avisos falsos que alertan al usuario de una infecci¨®n. Adem¨¢s, muestra resultados de exploraci¨®n falsos del sistema afectado. Una vez completado el proceso de exploraci¨®n, pide al usuario que realice la compra. Si el usuario decide comprar el producto falso, se le redirigir¨¢ a un sitio Web que le solicitar¨¢ informaci¨®n confidencial, como el n¨²mero de su tarjeta de cr¨¦dito. Muestra una ventana en la que el usuario puede comprar este programa antivirus falso.

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

• TROJ_DLOADR.BUTH

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• {All Users' Profile}\Application Data\pcdfdata\app.ico
• {All Users' Profile}\Application Data\pcdfdata\defs.bin - contains downloaded malware information
• {All Users' Profile}\Application Data\pcdfdata\support.ico
• {All Users' Profile}\Application Data\pcdfdata\uninst.ico
• %Desktop%\Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Remove Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Security Defender Help and Support.lnk
• %Start Menu%\Programs\Security Defender\Security Defender.lnk

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Crea las carpetas siguientes:

• %Start Menu%\Programs\Security Defender

(Nota: %Start Menu% es la carpeta Men¨² Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Men¨² Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Men¨² Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Men¨² Inicio).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\wdshield

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata

HKEY_CLASSES_ROOT\.exe\DefaultIcon

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CLASSES_ROOT\.exe\shell\
open

HKEY_CLASSES_ROOT\.exe\shell\
open\command

HKEY_CLASSES_ROOT\.exe\shell\
runas

HKEY_CLASSES_ROOT\.exe\shell\
runas\command

HKEY_CURRENT_USER\Software\Classes\
.exe

HKEY_CURRENT_USER\Software\Classes\
.exe\shell

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.exe\DefaultIcon
{Default} = "%1"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
{Default} = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe
{Default} = "4g"

HKEY_CURRENT_USER\Software\Classes\
.exe Content
Type = "application/x-m"

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
{Default} = "%1"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
{Default} = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayName = "Security Defender"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
InstallLocation = "{All Users' Profile}\Application Data\pcdfdata"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
UninstallString = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /tout"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayIcon = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe,0"

Modifica las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.exe
{Default} = "4g"

(Note: The default value data of the said registry entry is exefile.)

HKEY_CLASSES_ROOT\.exe
Content Type = "application/x-m"

(Note: The default value data of the said registry entry is application/x-msdownload.)

±Ê°ù´Ç±è²¹²µ²¹³¦¾±¨®²Ô

Este malware no tiene ninguna rutina de propagaci¨®n.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de antivirus falso

Muestra los siguientes avisos falsos:

Si el usuario accede a comprar el software, se conecta a la siguiente URL para continuar con la adquisici¨®n:

• https://{BLOCKED}.{BLOCKED}ng.com/billing/key/?uid={value}

Muestra avisos falsos que alertan al usuario de una infecci¨®n. Adem¨¢s, muestra resultados de exploraci¨®n falsos del sistema afectado. Una vez completado el proceso de exploraci¨®n, pide al usuario que realice la compra. Si el usuario decide comprar el producto falso, se le redirigir¨¢ al siguiente sitio Web que le solicitar¨¢ informaci¨®n confidencial, como el n¨²mero de su tarjeta de cr¨¦dito:

• https://{BLOCKED}.{BLOCKED}ng.com/html/billing/?uid={value}

Se muestra al usuario la siguiente ventana para que compre el programa antivirus falso:

Muestra la siguiente ventana y hace creer que explora el sistema: