Installation
Introduit les duplicats suivants au sein du système affecté.
- %Application Data%\NewApp\NewApp.exe
(Remarque : %Application Data% est le dossier Application Data de l'utilisateur actif ; il s'agit le plus souvent de C:\Windows\Profiles\{nom de l'utilisateur}\Application Data sous Windows 98 et ME, de C:\WINNT\Profiles\{nom de l'utilisateur}\Application Data sous Windows NT, de C:\Documents and Settings\{nom de l'utilisateur}\Local Settings\Application Data sous Windows 2000(32-bit), XP et Server 2003(32-bit) et de C:\Users\{nom de l'utilisateur}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) et 10(64-bit).)
Technique de démarrage automatique
Modifie les entrées de registre suivantes afin d''assurer son exécution automatique à chaque démarrage système :
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NewApp = %Application Data%\NewApp\NewApp.exe
Propagation
Introduit les copies suivantes de lui-même dans tous les lecteurs physiques et amovibles :
- {drive letter}:\{GUID}.exe
Vol d'informations
Collecte les données suivantes :
- User Name
- Computer Name
- OS Name
- OS Version Platform
- OS Version
- Processor Name
- Amount of Physical Memory
- Username and Password from the following applications:
- 360 Browser
- 7Star
- Amigo
- BlackHawk
- Brave Browser
- CentBrowser
- Chedot
- Chrome
- Chromium
- Citrio
- Claws-mail
- CocCoc
- Comodo Dragon
- CoolNovo
- Coowon
- CoreFTP
- CyberFox
- DynDNS
- Edge
- Elements Browser
- Epic Privacy Browser
- Eudora
- Firefox
- FlashFXP
- Flock
- Foxmail
- FTPCommander
- FTPGetter
- FTP Navigator
- IceCat
- IceDragon
- IncrediMail
- Internet Download Manager
- Internet Explorer
- Ipswitch
- Iridium Browser
- jDownloader
- K-Meleon
- Kometa
- Liebao Browser
- Mozilla
- No-IP
- OpenVPN
- Opera Browser
- Opera Mail
- Orbitum
- Outlook
- PaleMoon
- Paltalk
- Pidgin
- Pocomail
- Postbox
- Psi/Psi+
- QIP Surf
- QQ Browser
- RimArts
- Safari
- SeaMonkey
- Sleipnir 6
- SmartFTP
- Sputnik
- SRWare Iron
- The Bat!
- Thunderbird
- Torch Browser
- Trillian
- UC Browser
- uCozMedia
- Uran
- Vitalwerks
- Vivaldi
- WaterFox
- Wi-Fi
- WinSCP
- WS_FTP
- Yandex Browser
Informations dérobées
Envoie les données collectées aux adresses e-mail suivantes via SMTP :
- {BLOCKED}pera@{BLOCKED}thospitals.org
Step 3
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 4
Redémarrage en mode sans échec
[ learnMore ]
[ back ]
Pour redémarrer en mode sans échec :
• Pour les utilisateurs de Windows 98 et ME
- Redémarrez votre ordinateur.
- Maintenez la touche Ctrl enfoncée jusqu'à ce que s'affiche le menu de démarrage.
- Choisissez l'option de mode sans échec, puis appuyez sur la touche Entrée.
• Pour les utilisateurs de Windows NT (mode VGA)
- Cliquez sur Démarrer>Paramètres>Panneau de configuration.
- Double-cliquez sur l'icône Système.
- Cliquez sur l'onglet Démarrage/Arrêt.
- Paramétrez le champ Afficher liste sur 10 secondes et cliquez sur OK pour enregistrer cette modification.
- Éteignez et redémarrez l'ordinateur.
- Sélectionnez le mode VGA dans le menu de démarrage.
• Pour les utilisateurs de Windows 2000
- Redémarrez votre ordinateur.
- Appuyez sur la touche F8 lorsque la barre de démarrage de Windows s’affiche au bas de votre écran.
- Sélectionnez l’option de mode sans échec dans le menu Options avancées de Windows, puis appuyez sur la touche Entrée.
• Pour les utilisateurs de Windows XP
- Redémarrez votre ordinateur.
- Appuyez sur la touche F8 une fois le test POST (Power-On Self Test) terminé. Si le menu des options avancées de Windows ne s’affiche pas, essayez de redémarrer, puis d’appuyer plusieurs fois sur la touche F8 après l’affichage de l’écran POST.
- Sélectionnez l’option de mode sans échec dans le menu Options avancées de Windows, puis appuyez sur la touche Entrée.
• Pour les utilisateurs de Windows Server 2003
- Redémarrez votre ordinateur.
- Appuyez sur la touche F8 après le démarrage de Windows. Si le menu des options avancées de Windows ne s'affiche pas, essayez de redémarrer une nouvelle fois, puis d'appuyer plusieurs fois sur la touche F8 après le redémarrage.
- Dans le menu des options avancées de Windows, utilisez les touches fléchées pour sélectionner le mode sans échec, puis appuyez sur la touche Entrée.
Step 5
Supprimer cette clé de registre
[ learnMore ]
[ back ]
Important : une modification incorrecte du registre Windows risque de générer des problèmes irréversibles au niveau du système. Ne procédez à cette opération que si vous êtes un utilisateur expérimenté. Vous pouvez aussi demander de l"aide auprès de votre administrateur système. Sinon, commencez par consulter cet article Microsoft avant de modifier le registre de votre ordinateur.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- NewApp = %Application Data%\NewApp\NewApp.exe
Pour supprimer les clés de registre créées par ce programme malveillant/grayware/programme espion :
- Ouvrez l'éditeur de registre. Pour ce faire, cliquez sur Démarrer>Exécuter, saisissez regedit dans le champ de saisie, puis appuyez sur Entrée.
- Dans le panneau de gauche de la fenêtre de l'éditeur de registre, faites un double-clic à l'endroit suivant :
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run - Toujours dans le panneau de gauche, recherchez et supprimez la clé :
NewApp = %Application Data%\NewApp\NewApp.exe - Fermez l'éditeur de registre.
Step 6
Recherche et suppression de ces fichiers
[ learnMore ]
[ back ]
Il se peut que certains fichiers de composants soient cachés. Assurez-vous que la case
Rechercher dans les fichiers et les dossiers cachés est cochée dans les "Options avancées" afin que les fichiers et dossiers cachés soient inclus dans les résultats de la recherche.
- %Application Data%\NewApp\NewApp.exe
- {drive letter}:\{GUID}.exe
Pour supprimer des fichiers de composants de programmes malveillants/graywares/programmes espions
- Faites un clic droit sur Démarrer Recherche... ou Rechercher..., en fonction de la version de Windows que vous exécutez.
- Dans le champ de saisie de nom, tapez :
DATA_GENERIC_FILENAME_1
Dans la liste déroulante Regarder dans, sélectionnez Poste de travail, puis appuyez sur entrée. Une fois localisé, sélectionnez le fichier et appuyez sur MAJ+SUPPR pour effacer le fichier de manière définitive. Répétez les étapes 2 à 4 pour les fichiers restants : - %Application Data%\NewApp\NewApp.exe
- {drive letter}:\{GUID}.exe
Step 7
Redémarrez en mode normal et effectuez un scan de l"ordinateur à l"aide de votre produit Trend Micro afin de rechercher les fichiers détectés comme étant Worm.Win32.NEGASTEAL.B Si les fichiers détectés ont déjà été nettoyés, supprimés ou placés en quarantaine par votre produit Trend Micro, aucune autre procédure n"est nécessaire. Vous pouvez simplement choisir de supprimer les fichiers en quarantaine. Veuillez consulter cette page de base de connaissances pour plus d"informations.
Step 8
Effectuez un scan de l’ordinateur à l’aide de votre produit Trend Micro pour supprimer les fichiers spécifiés comme étant Worm.Win32.NEGASTEAL.B Si les fichiers détectés ont déjà été nettoyés, supprimés ou placés en quarantaine par votre produit Trend Micro, aucune autre procédure n"est nécessaire. Vous pouvez simplement choisir de supprimer les fichiers en quarantaine. Veuillez consulter cette page de base de connaissances pour plus d"informations.
Participez à notre enquête!