Modificado por : Jimelle Monteser
 Alias

Generic-FAOD!471BCDE65E62 (McAfee); Trojan.Win32.Agent.agewu (Kaspersky); Mal/Drop-AVTZ (Sophos); Trojan.Win32.Sprotect.a (v) (Sunbelt); Trojan horse Dropper.Generic_r.AF (AVG)

 Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Riesgo general:
 Potencial de destrucción:
 Potencial de distribución:
 Infección divulgada:
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Adware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción

Incluye un paquete de desinstalación que elimina completamente los archivos y registros infiltrados. Este malware se elimina tras la ejecución.

  Detalles técnicos

Tamaño del archivo 4,817,920 bytes
Tipo de archivo EXE
Residente en memoria No
Fecha de recepción de las muestras iniciales 16 de junio de 2014

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

  • %All Users Profile%\Assistant\Assistant.dll - also detected as ADW_SPROTECT.GA
  • %All Users Profile%\Assistant\AssistantSvc.dll - also detected as ADW_SPROTECT.GA

Crea las carpetas siguientes:

  • %All Users Profile%\Assistant

Técnica de inicio automático

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03
NextInstance = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Service = "e64a4d03"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Legacy = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
ConfigFlags = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Class = "LegacyDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
ClassGUID = "{GUID}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
DeviceDesc = "Assistant"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control
*NewlyCreated* = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control
ActiveService = "e64a4d03"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ImagePath = ""%System%\rundll32.EXE" "%All Users Profile%\Assistant\AssistantSvc.dll",service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
DisplayName = "Assistant"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Security
Security = "{value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
0 = "Root\LEGACY_E64A4D03\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
Count = "1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
NextInstance = "1

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\AppDataLow

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03\eae10f9d

HKEY_LOCAL_MACHINE\SOFTWARE\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03\eae10f9d

HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
date = "14{random}"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
data.0 = "{random}"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
data.1 = "{random}"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
usr.0 = "{random}"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
usr.1 = "{random}"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
uuid = "baadc0de-baadbeef-b0b2d6e3"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
lrts = "0"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
mode = "f0000000"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
iiid = "1"

HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03\00000000
{random} = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
n = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
date = "14{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
data.0 = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
data.1 = "{random}

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
usr.0 = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
usr.1 = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
version = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
uuid = "baadc0de-baadbeef-b0b2d6e3"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
state = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
lrts = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
mode = "f0000000"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svn = "Assistant"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svx = ""

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svi = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svt = "539fc126"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
iiid = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
dlpath = "%All Users Profile%\Assistant\Assistant.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svpath = "%All Users Profile%\Assistant\AssistantSvc.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
Install_Dir = "%All Users Profile%\Assistant"

HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03\00000000
{random} = "{random}"

HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}
e64a4d03 = "%All Users Profile%\Assistant\Assistant.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}
n = "1"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%All Users Profile%\Assistant\Assistant.dll"

(Note: The default value data of the said registry entry is "".)

Otros detalles

Agrega las siguientes entradas de registro para añadir una opción de desinstalación al Panel de control:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
UninstallString = ""%System%\rundll32.exe" "%All Users Profile%\Assistant\Assistant.dll",_uninstall /un"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
QuietUninstallString = ""%System%\rundll32.exe" "%All Users Profile%\Assistant\Assistant.dll",_uninstall /un /uq"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
Publisher = "Verified Publisher"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
InstallDate = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
CategoryName = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
DisplayName = "Assistant"

Incluye un paquete de desinstalación que elimina completamente los archivos infiltrados y registros agregados.

Este malware se elimina tras la ejecución.

  Soluciones

Motor de exploración mínimo 9.700

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ aprenda más ]

Step 3

Quitar ADW_SPROTECT.GA por medio de su propia opción de desinstalación

[ aprenda más ]
Para desinstalar el proceso de grayware

Step 4

Eliminar esta clave del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software
    • AppDataLow
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • {3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • {5F189DF5-2D05-472B-9091-84D9848AE48B}
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • {77D46E27-0E41-4478-87A6-AABE6FBCF252}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
    • {5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
    • LEGACY_E64A4D03
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • e64a4d03

Step 5

Restaurar este valor del Registro modificado

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows NT\CurrentVersion\Windows
    • From: AppInit_DLLs = "%All Users Profile%\Assistant\Assistant.dll"
      To: AppInit_DLLs = ""

Step 6

Buscar y eliminar esta carpeta

[ aprenda más ]
Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
  • %All Users Profile%\Assistant

Step 7

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como ADW_SPROTECT.GA En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Rellene nuestra encuesta!