PUA.Win32.MyWebSearch.IQ

Publish Date: May 14, 2021

Analyse von: Thea Patrice Tajonera

Win32/LuluSoftware.K (NOD32)

Plattform:

Windows

Risikobewertung (gesamt):

Schadenspotenzial::

Verteilungspotenzial::

reportedInfection:

Trend Micro Lösungen:

Niedrig

Mittel

Hoch

Kritisch

Malware-Typ:
Potentially Unwanted Application
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja

Überblick

Infektionsweg: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Technische Details

Dateigröße: 37,492,928 bytes

Dateityp: EXE

Speicherresiden: Ja

Erste Muster erhalten am: 16 April 2021

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

%User Temp%\is-{5 Random Characters}.tmp
%Program Files%\PDFCreator
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\Properties
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\FilesForTests\
%Program Files%\PDFCreator\COM Scripts\JS Scripts\Basics
%Program Files%\PDFCreator\COM Scripts\JS Scripts\How Tos
%Program Files%\PDFCreator\COM Scripts\Perl
%Program Files%\PDFCreator\COM Scripts\Perl\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Python
%Program Files%\PDFCreator\COM Scripts\Python\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Ruby
%Program Files%\PDFCreator\COM Scripts\Ruby\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\My Project
%Program Files%\PDFCreator\COM Scripts\VB6\VB6_COMTest\FilesForTests
%Program Files%\PDFCreator\Ghostscript
%Program Files%\PDFCreator\Ghostscript\Lib
%Program Files%\PDFCreator\Languages
%Program Files%\PDFCreator\Languages\ca\LC_MESSAGES
%Program Files%\PDFCreator\Languages\co-FR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\cs\LC_MESSAGES
%Program Files%\PDFCreator\Languages\da\LC_MESSAGES
%Program Files%\PDFCreator\Languages\de\LC_MESSAGES
%Program Files%\PDFCreator\Languages\es\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fa\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fr\LC_MESSAGES
%Program Files%\PDFCreator\Languages\hu\LC_MESSAGES
%Program Files%\PDFCreator\Languages\it\LC_MESSAGES
%Program Files%\PDFCreator\Languages\lt\LC_MESSAGES
%Program Files%\PDFCreator\Languages\nl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pt-BR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\ru\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sk\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sv\LC_MESSAGES
%Program Files%\PDFCreator\Languages\zh-HANS\LC_MESSAGES
%Program Files%\PDFCreator\PDF Architect
%Common Programs%\PDFCreator
%Common Programs%\PDFCreator\Licenses
%ProgramData%\PDF Architect 7
%ProgramData%\PDF Architect 7\Installation

Schleust die folgenden Dateien ein:

%User Temp%\is-{5 Random Characters}.tmp\{Malware Filename}.tmp
%User Temp%\Setup Log {Date Installed} #001.txt
%User Temp%\is-{5 Random Characters}.tmp\idp.dll - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\DownloadUpdateInfo.exe - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\DownloadUpdateInfo.tmp - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\_isetup\_shfoldr.dll - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\PDFArchitectAd2_English.bmp - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\PDFArchitectAd3_English.bmp - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\architect-setup.exe - deleted afterwards
%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.tmp - deleted afterwards
%Program Files%\PDFCreator\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\ca\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\co-FR\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\cs\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\da\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\de\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\es\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\fa\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\fr\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\hu\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\it\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\lt\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\nl\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\pl\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\pt-BR\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\ru\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\sk\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\sl\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\sv\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Languages\zh-HANS\LC_MESSAGES\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\CppCOMTest\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\JS Scripts\Basics\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\JS Scripts\How To\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Perl\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Perl\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Python\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Python\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Ruby\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\Ruby\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\My Project\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB6\VB6_COMTest\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\COM Scripts\VB6\VB6_COMTest\FilesForTests\is-{5 Random Characters}.tmp - deleted afterwards
%Program Files%\PDFCreator\Ghostscript\Lib\is-{5 Random Characters}.tmp - deleted afterwards
%System%\spool\drivers\w32x86\PSCRIPT5.DL - deleted afterwards
%System%\spool\drivers\w32x86\PS5UI.DLL - deleted afterwards
%System%\spool\drivers\w32x86\PSCRIPT.HLP - deleted afterwards
%System%\spool\drivers\w32x86\PDFCREAT.PPD - deleted afterwards
%System%\spool\drivers\w32x86\PS_SCHM.GDL - deleted afterwards
%System%\spool\drivers\w32x86\PSCRIPT.NTF - deleted afterwards
%System%\pdfcmon.dll - deleted afterwards
%Program Files%\PDFCreator\unins000.dat
%ProgramData%\PDF Architect 7\Installation\Statistics.dll
%ProgramData%\PDF Architect 7\Installation\statistic.xml
%Public%\Desktop\PDFCreator.lnk
%Program Files%\PDFCreator\PDF Architect\architect-setup.exe
%Program Files%\PDFCreator\PDFCreator.url
%Program Files%\PDFCreator\PDFCreator.COM.tlb
%Program Files%\PDFCreator\PrinterHelperSetupLog.txt
%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.exe
%Program Files%\PDFCreator\SetupLog.txt
%Common Programs%\PDFCreator\PDFCreator.lnk
%Common Programs%\PDFCreator\Licenses\AFPL License.lnk
%Common Programs%\PDFCreator\Licenses\GPL License.lnk
%Common Programs%\PDFCreator\Licenses\FairPlay License.lnk
%Common Programs%\PDFCreator\PDFCreator on the Web.lnk
%Common Programs%\PDFCreator\PDFCreator Help.lnk

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

"%User Temp%\is-{5 Random Characters}.tmp\install.tmp" /SL5="$1303A4,36975106,57856,{Malware Path}\{Malware Filename|.exe"
"%User Temp%\is-{5 Random Characters}.tmp\DownloadUpdateInfo.exe" /verysilent /URL=https://update.{BLOCKED}ge.org/pdfcreator/update-info.txt/Filename="%User Temp%\is-{5 Random Characters}.tmp\update-info.txt" /TimeOut=30000
"%User Temp%\is-{5 Random Characters}.tmp\DownloadUpdateInfo.tmp" /SL5="$1B03BE,269828,56832,%User Temp%\is-{5 Random Characters}.tmp\DownloadUpdateInfo.exe" /verysilent /URL=https://update.{BLOCKED}ge.org/pdfcreator/update-info.txt /Filename="%User Temp%\is-{5 Random Characters}.tmp\update-info.txt" /TimeOut=30000
"%User Temp%\is-{5 Random Characters}.tmp\architect-setup.exe" /quiet /run_application=0 /default_application=0 /application_language=en /desktop_shortcut=1 /firefox_integration /ie_integration /enable_automatic_updates=yes /win_explorer_integration /install_messenger
regsvr32.exe /s "%ProgramData%\PDF Architect 7\Installation\Statistics.dll"
"C:\Program Files\PDFCreator\SetupHelper.exe" /ComInterface=Register
"%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%Program Files%\PDFCreator\PDFCreator.COM.dll" /codebase /tlb
"%Program Files%\PDFCreator\SetupHelper.exe" /FileExtensions=Add
"%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%Program Files%\PDFCreator\PDFCreatorShell.dll" /codebase
"%Program Files%\PDFCreator\PrinterHelper.exe" /InstallPrinter "PDFCreator" /PortApplication "%Program Files%\PDFCreator\PDFCreator.exe" /Log "%Program Files%\PDFCreator\PrinterHelperSetupLog.txt"
"%Program Files%\PDFCreator\PDFCreator.exe" /InitializeSettings
"%Program Files%\Internet Explorer\iexplore.exe" -nohome
"%Program Files%\Internet Explorer\iexplore.exe" SCODEF:2156 CREDAT:14337
new process;"%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.exe" /verysilent /p=1 /v=3.5.0.6811 /ud=0 /lc=en /b=2 /e=0 /f=program,pdfarchitect,pdfarchitect\firefox,pdfarchitect\internetexplorer /g=6.01.7601 /brk="HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links\params" /brd="partner=default&uid=1006694&ref={BLOCKED}hitect.org&cmp=&key1=inst_pdfcreator_new&key2=%buuid%" /j=0 /i=0 /k=4.7.2 /l=0 /m=bdb5b2b91235375316c120c54568b040582334fe /o=SUCCESS /q=14 /r=1136 /s=1
"%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.tmp" /SL5="$1503A4,137611,56832,%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.exe" /verysilent /p=1 /v=3.5.0.6811 /ud=0 /lc=en /b=2 /e=0 /f=program,pdfarchitect,pdfarchitect\firefox,pdfarchitect\internetexplorer /g=6.01.7601 /brk="HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links\params" /brd="partner=default&uid=1006694&ref={BLOCKED}hitect.org&cmp=&key1=inst_pdfcreator_new&key2=%buuid%" /j=0 /i=0 /k=4.7.2 /l=0 /m=bdb5b2b91235375316c120c54568b040582334fe /o=SUCCESS /q=14 /r=1136 /s=1

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
cmp =

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
key1 = inst_pdfcreator_new

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
params = partner=default&uid=1006694&ref={BLOCKED}hitect.org&cmp=&key1=inst_pdfcreator_new&key2=

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
partner = default

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
redirector_link = http://paygw.{BLOCKED}hitect.org/redirect/

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
ref = {BLOCKED}hitect.org

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links
uid = {ID}

HKEY_CURRENT_USER\Software\PDF Architect 7\
Options\General
Send user statistics = 1

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Installation
INSTALL_FOLDER = %Program Files%\PDF Architect 7

HKEY_LOCAL_MACHINE\SOFTWARE\pdfforge\
PDFCreator\Program
ApplicationVersion = 3.5.0.6811

HKEY_LOCAL_MACHINE\SOFTWARE\pdfforge\
PDFCreator\Program
ApplicationPath = %Program Files\PDFCreator

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
ConversionTimeout = 60

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
EnableTips = True

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
Language = en

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
LoggingLevel = Error

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
NextUpdate = {Date Installed}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
UnitOfMeasurement = Centimeter

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings
UpdateInterval = Weekly

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\DropboxAccounts
numClasses = 0

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\FtpAccounts
numClasses = 0

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\HttpAccounts
numClasses = 0

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\SmtpAccounts
numClasses = 0

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts
numClasses = 3

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}
AccountId = {ID}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}
IsSecured = False

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}
Password = {Password}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}
Url = {Any of the following URL: https://{BLOCKED}a.org/tsr , http://timestamp.{BLOCKED}sign.com/scripts/timestamp.dll, http://timestamp.{BLOCKED}rt.com }

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}
UserName =

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
Capacity = 30

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
Column = Author

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
Enabled = True

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
LastDateFrom = {Date Installed}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
LastDateTo = {Date Installed}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory
LastSearchText =

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
PrinterMappings
numClasses = 1

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
PrinterMappings\{Number}
PrinterName = PDFCreator

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
PrinterMappings\{Number}
ProfileGuid = DefaultGuid

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
RssFeed
Enable = True

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
RssFeed
LatestRssUpdate = {Date Installed}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
TitleReplacement
numClasses = 58

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
TitleReplacement\{Number}
Replace =

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
TitleReplacement\{Number}
ReplacementType = Start

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
TitleReplacement\{Number}
Search = {File Extension}

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Links

HKEY_CURRENT_USER\Software\PDF Architect 7

HKEY_CURRENT_USER\Software\PDF Architect 7\
Options

HKEY_CURRENT_USER\Software\PDF Architect 7\
Options\General

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\
Installation

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\DropboxAccounts

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\FtpAccounts

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\HttpAccounts

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\SmtpAccounts

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
Accounts\TimeServerAccounts\{Number}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
JobHistory

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
PrinterMappings\{Number}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
RssFeed

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
TitleReplacement\{Number}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ApplicationSettings\
UsageStatistics

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\AttachmentPage

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\AutoSave

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\BackgroundPage

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\CoverPage

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\CustomScript

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\DropboxSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\EmailClientSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\EmailSmtpSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Ftp

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Ghostscript

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\HttpSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\JpegSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\PdfSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\PdfSettings\CompressColorAndGray

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\PdfSettings\CompressMonochrome

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\PdfSettings\Security

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\DefaultViewers\
{Number}

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\CreatorAppSettings

HKEY_CURRENT_USER\Software\pdfforge

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Printing

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Properties

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Scripting

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\Stamping

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\TextSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\TiffSettings

HKEY_CURRENT_USER\Software\pdfforge\
PDFCreator\Settings\ConversionProfiles\
{Number}\UserTokens

It connects to the following possibly malicious URL:

https://update.{BLOCKED}ge.org/pdfcreator/update-info.txt
https://download.{BLOCKED}ge.org/download/pdfcreator/4.2.0/PDFCreator-4_2_0-Setup.exe?file=PDFCreator-4_2_0-Setup.exe&download
https://download.{BLOCKED}ge.org/go/op/lsop.exe

Lösungen

Mindestversion der Scan Engine: 9.800

SSAPI Pattern-Datei: 2.187.00

SSAPI Pattern veröffentlicht am: 27 Juni 2019

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 3

Diese Datei suchen und löschen

[ learnMore ]

Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.

%Common Programs%\PDFCreator\PDFCreator.lnk
%Common Programs%\PDFCreator\Licenses\AFPL License.lnk
%Common Programs%\PDFCreator\Licenses\GPL License.lnk
%Common Programs%\PDFCreator\Licenses\FairPlay License.lnk
%Common Programs%\PDFCreator\PDFCreator on the Web.lnk
%Common Programs%\PDFCreator\PDFCreator Help.lnk
%User Temp%\is-{5 Random Characters}.tmp\{Malware Filename}.tmp
%User Temp%\Setup Log {Date Installed} #001.txt
%Program Files%\PDFCreator\unins000.dat
%ProgramData%\PDF Architect 7\Installation\Statistics.dll
%ProgramData%\PDF Architect 7\Installation\statistic.xml
%Public%\Desktop\PDFCreator.lnk
%Program Files%\PDFCreator\PDF Architect\architect-setup.exe
%Program Files%\PDFCreator\PDFCreator.url
%Program Files%\PDFCreator\PDFCreator.COM.tlb
%Program Files%\PDFCreator\PrinterHelperSetupLog.txt
%User Temp%\is-{5 Random Characters}.tmp\InstallCheck.exe
%Program Files%\PDFCreator\SetupLog.txt

Step 4

Diesen Ordner suchen und löschen

[ learnMore ]

Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.

%User Temp%\is-{5 Random Characters}.tmp
%Program Files%\PDFCreator
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\Properties
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\FilesForTests\
%Program Files%\PDFCreator\COM Scripts\JS Scripts\Basics
%Program Files%\PDFCreator\COM Scripts\JS Scripts\How Tos
%Program Files%\PDFCreator\COM Scripts\Perl
%Program Files%\PDFCreator\COM Scripts\Perl\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Python
%Program Files%\PDFCreator\COM Scripts\Python\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Ruby
%Program Files%\PDFCreator\COM Scripts\Ruby\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\My Project
%Program Files%\PDFCreator\COM Scripts\VB6\VB6_COMTest\FilesForTests
%Program Files%\PDFCreator\Ghostscript
%Program Files%\PDFCreator\Ghostscript\Lib
%Program Files%\PDFCreator\Languages
%Program Files%\PDFCreator\Languages\ca\LC_MESSAGES
%Program Files%\PDFCreator\Languages\co-FR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\cs\LC_MESSAGES
%Program Files%\PDFCreator\Languages\da\LC_MESSAGES
%Program Files%\PDFCreator\Languages\de\LC_MESSAGES
%Program Files%\PDFCreator\Languages\es\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fa\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fr\LC_MESSAGES
%Program Files%\PDFCreator\Languages\hu\LC_MESSAGES
%Program Files%\PDFCreator\Languages\it\LC_MESSAGES
%Program Files%\PDFCreator\Languages\lt\LC_MESSAGES
%Program Files%\PDFCreator\Languages\nl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pt-BR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\ru\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sk\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sv\LC_MESSAGES
%Program Files%\PDFCreator\Languages\zh-HANS\LC_MESSAGES
%Program Files%\PDFCreator\PDF Architect
%Common Programs%\PDFCreator
%Common Programs%\PDFCreator\Licenses
%ProgramData%\PDF Architect 7
%ProgramData%\PDF Architect 7\Installation

Den Malware-/Grayware-/Spyware-Ordner löschen:

Klicken Sie mit der rechten Maustaste auf Start und dann je nach Windows Version auf Suchen... oder Finden....
Geben Sie in das Feld Name Folgendes ein:

%User Temp%\is-{5 Random Characters}.tmp
%Program Files%\PDFCreator
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\C#.Net\COM_TestForm\COM_TestForm\Properties
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest
%Program Files%\PDFCreator\COM Scripts\C++\CppCOMTest\FilesForTests\
%Program Files%\PDFCreator\COM Scripts\JS Scripts\Basics
%Program Files%\PDFCreator\COM Scripts\JS Scripts\How Tos
%Program Files%\PDFCreator\COM Scripts\Perl
%Program Files%\PDFCreator\COM Scripts\Perl\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Python
%Program Files%\PDFCreator\COM Scripts\Python\FilesForTests
%Program Files%\PDFCreator\COM Scripts\Ruby
%Program Files%\PDFCreator\COM Scripts\Ruby\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\FilesForTests
%Program Files%\PDFCreator\COM Scripts\VB.Net\COM_TestForm\COM_TestForm\My Project
%Program Files%\PDFCreator\COM Scripts\VB6\VB6_COMTest\FilesForTests
%Program Files%\PDFCreator\Ghostscript
%Program Files%\PDFCreator\Ghostscript\Lib
%Program Files%\PDFCreator\Languages
%Program Files%\PDFCreator\Languages\ca\LC_MESSAGES
%Program Files%\PDFCreator\Languages\co-FR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\cs\LC_MESSAGES
%Program Files%\PDFCreator\Languages\da\LC_MESSAGES
%Program Files%\PDFCreator\Languages\de\LC_MESSAGES
%Program Files%\PDFCreator\Languages\es\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fa\LC_MESSAGES
%Program Files%\PDFCreator\Languages\fr\LC_MESSAGES
%Program Files%\PDFCreator\Languages\hu\LC_MESSAGES
%Program Files%\PDFCreator\Languages\it\LC_MESSAGES
%Program Files%\PDFCreator\Languages\lt\LC_MESSAGES
%Program Files%\PDFCreator\Languages\nl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\pt-BR\LC_MESSAGES
%Program Files%\PDFCreator\Languages\ru\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sk\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sl\LC_MESSAGES
%Program Files%\PDFCreator\Languages\sv\LC_MESSAGES
%Program Files%\PDFCreator\Languages\zh-HANS\LC_MESSAGES
%Program Files%\PDFCreator\PDF Architect
%Common Programs%\PDFCreator
%Common Programs%\PDFCreator\Licenses
%ProgramData%\PDF Architect 7
%ProgramData%\PDF Architect 7\Installation
Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.
Markieren Sie den gefundenen Ordner, und drücken Sie UMSCHALT+ENTF, um ihn endgültig zu löschen.

Step 5

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- cmp
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- key1 = inst_pdfcreator_new
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- params = partner=default&uid=1006694&ref={BLOCKED}hitect.org&cmp=&key1=inst_pdfcreator_new&key2=
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- partner = default
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- redirector_link = http://paygw.{BLOCKED}hitect.org/redirect/
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- ref = {BLOCKED}hitect.org
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
- uid = 1006694
In HKEY_CURRENT_USER\Software\PDF Architect 7\Options\General
- Send user statistics = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Installation
- INSTALL_FOLDER = %Program Files%\PDF Architect 7
In HKEY_LOCAL_MACHINE\SOFTWARE\pdfforge\PDFCreator\Program
- ApplicationVersion = 3.5.0.6811
In HKEY_LOCAL_MACHINE\SOFTWARE\pdfforge\PDFCreator\Program
- ApplicationPath = %Program Files\PDFCreator
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- ConversionTimeout = 60
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- EnableTips = True
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- Language = en
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- LoggingLevel = Error
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- NextUpdate = {Date Installed}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- UnitOfMeasurement = Centimeter
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings
- UpdateInterval = Weekly
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\DropboxAccounts
- numClasses = 0
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\FtpAccounts
- numClasses = 0
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\HttpAccounts
- numClasses = 0
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\SmtpAccounts
- numClasses = 0
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts
- numClasses = 3
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
- AccountId = {ID}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
- IsSecured = False
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
- Password = {Password}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
- Url = {Any of the following URL: https://{BLOCKED}a.org/tsr , http://timestamp.{BLOCKED}sign.com/scripts/timestamp.dll }
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
- UserName =
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- Capacity = 30
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- Column = Author
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- Enabled = True
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- LastDateFrom = {Date Installed}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- LastDateTo = {Date Installed}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
- LastSearchText =
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\PrinterMappings
- numClasses = 1
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\PrinterMappings\{Number}
- PrinterName = PDFCreator
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\PrinterMappings\{Number}
- ProfileGuid = DefaultGuid
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\RssFeed
- Enable = True
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\RssFeed
- LatestRssUpdate = {Date Installed}
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement
- numClasses = 58
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement\{Number}
- Replace =
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement\{Number}
- ReplacementType = Start
In HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement\{Number}
- Search = {File Extension}

Den Registrierungsschlüssel löschen, den diese Malware erstellt hat:

Öffnen Sie den Registrierungs-Editor. Klicken Sie dazu auf Start>Ausführen, geben Sie regedit in das Textfeld ein, und drücken Sie die Eingabetaste.
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>PDF Architect
7>Links
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
cmp =
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
key1 = inst_pdfcreator_new
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
params = partner
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>PDF
Architect 7>Links
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
partner = default
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
redirector_link = http://paygw.{BLOCKED}hitect.org/redirect/
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ref = {BLOCKED}hitect.org
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
uid = 1006694
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>PDF
Architect 7>Options>General
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Send user statistics = 1
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>PDF Architect 7>Installation
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
INSTALL_FOLDER = %Program Files%\PDF Architect
7
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>pdfforge>PDFCreator>Program
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ApplicationVersion = 3.5.0.6811
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ApplicationPath = %Program Files\PDFCreator
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ConversionTimeout = 60
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
EnableTips = True
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Language = en
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
LoggingLevel = Error
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
NextUpdate = {Date Installed}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
UnitOfMeasurement = Centimeter
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
UpdateInterval = Weekly
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>DropboxAccounts
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 0
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>FtpAccounts
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 0
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>HttpAccounts
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 0
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>SmtpAccounts
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 0
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>TimeServerAccounts
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 3
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>Accounts>TimeServerAccounts>{Number}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
AccountId = {ID}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
IsSecured = False
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Password = {Password}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Url = {Any of the following URL: https://{BLOCKED}a.org/tsr ,
http://timestamp.{BLOCKED}sign.com/scripts/timestamp.dll ,
http://timestamp. {BLOCKED}rt.com
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
UserName =
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>JobHistory
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Capacity = 30
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Column = Author
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Enabled = True
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
LastDateFrom = {Date
Installed}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
LastDateTo = {Date Installed}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
LastSearchText =
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>PrinterMappings
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 1
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>PrinterMappings>{Number}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
PrinterName = PDFCreator
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ProfileGuid = DefaultGuid
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>RssFeed
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Enable = True
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
LatestRssUpdate = {Date Installed}
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>TitleReplacement
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
numClasses = 58
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>pdfforge>PDFCreator>Settings>ApplicationSettings>TitleReplacement>{Number}
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Replace =
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
ReplacementType = Start
Suchen und löschen Sie im rechten Fensterbereich den folgenden Eintrag:
Search = {File Extension}
Schließen Sie den Registrierungs-Editor.

Step 6

Diesen Registrierungsschlüssel löschen

[ learnMore ]

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7
HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
HKEY_CURRENT_USER\Software\PDF Architect 7
HKEY_CURRENT_USER\Software\PDF Architect 7\Options
HKEY_CURRENT_USER\Software\PDF Architect 7\Options\General
HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Installation
HKEY_CURRENT_USER\Software\pdfforge
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\DropboxAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\FtpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\HttpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\SmtpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\PrinterMappings\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\RssFeed
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\UsageStatistics
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\AttachmentPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\AutoSave
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\BackgroundPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\CoverPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\CustomScript
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\DropboxSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\EmailClientSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\EmailSmtpSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Ftp
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Ghostscript
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\HttpSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\JpegSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\CompressColorAndGray
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\CompressMonochrome
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\Security
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\Signature
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PngSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Printing
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Properties
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Scripting
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Stamping
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\TextSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\TiffSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\UserTokens
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\CreatorAppSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\DefaultViewers\{Number}

Registrierungsschlüssel löschen, die diese Malware/Grayware/Spyware erstellt hat:

Öffnen Sie den Registrierungs-Editor. Klicken Sie dazu auf Start>Ausführen, geben Sie regedit in das Textfeld ein, und drücken Sie die Eingabetaste.

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7
HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Links
HKEY_CURRENT_USER\Software\PDF Architect 7
HKEY_CURRENT_USER\Software\PDF Architect 7\Options
HKEY_CURRENT_USER\Software\PDF Architect 7\Options\General
HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 7\Installation
HKEY_CURRENT_USER\Software\pdfforge
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\DropboxAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\FtpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\HttpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\SmtpAccounts
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\Accounts\TimeServerAccounts\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\JobHistory
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\PrinterMappings\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\RssFeed
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\TitleReplacement\{Number}
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ApplicationSettings\UsageStatistics
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\AttachmentPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\AutoSave
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\BackgroundPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\CoverPage
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\CustomScript
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\DropboxSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\EmailClientSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\EmailSmtpSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Ftp
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Ghostscript
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\HttpSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\JpegSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\CompressColorAndGray
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\CompressMonochrome
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\Security
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PdfSettings\Signature
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\PngSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Printing
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Properties
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Scripting
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\Stamping
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\TextSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\TiffSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\ConversionProfiles\{Number}\UserTokens
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\CreatorAppSettings
HKEY_CURRENT_USER\Software\pdfforge\PDFCreator\Settings\DefaultViewers\{Number}

Schließen Sie den Registrierungs-Editor.

Step 7

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als PUA.Win32.MyWebSearch.IQ entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Nehmen Sie an unserer Umfrage teil

PUA.Win32.MyWebSearch.IQ

Überblick

Technische Details

Lösungen

Ressourcen

Support

Über Trend

Hauptniederlassung DACH