TROJ_NOTOOLS.USB07VC

Deaktiviert Task-Manager, Registrierungseditor

File size: 301,568 bytes

File type: EXE

Memory resident: Non

Date de réception des premiers échantillons: 28 mai 2012

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
1609 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1609 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
1609 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1609 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1609 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
FaultCount = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
FaultTime = "976ca"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
FaultCount = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
FaultTime = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
CleanShutdown = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Applets\
SysTray
Services = "1f"

(Note: The default value data of the said registry entry is 1f.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
LogSessionName = "stdout"

(Note: The default value data of the said registry entry is {random values}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
Active = "1"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
ControlFlags = "1"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi\ImapiSvc
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"

(Note: The default value data of the said registry entry is 8107d8e9-e323-49f5-bba2-abc35c243dca.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi\ImapiSvc
BitNames = "{random characters}"

(Note: The default value data of the said registry entry is ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort.)

Erstellt den oder die folgenden Registrierungseinträge, um Task-Manager, Registrierungs-Tools und Ordneroptionen zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

Löscht die folgenden Registrierungsschlüssel:

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs

Einschleusungsroutine

Schleust die folgenden Dateien ein:

%User Startup%\{malware file name}.dll.lnk
%Temp%\13ayl74d.TMP

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.. %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Moteur de scan minimum: 9.200

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Aktivieren Sie Registrierungseditor, Task-Manager und Ordneroptionen.

[ learnMore ]

Mit diesem Schritt aktivieren Sie auch andere Anwendungen/Programme, die von dieser Malware/Grayware/Spyware deaktiviert wurden.

Registrierungseditor, Task-Manager und Ordneroptionen aktivieren:

Öffnen Sie den Editor. Klicken Sie dazu auf ""Start > Ausführen"", geben Sie in das Textfeld ""Notepad"" ein, und drücken Sie die Eingabetaste.
Kopieren Sie das folgende Skript, und fügen Sie es ein:
On Error Resume Next Set shl = CreateObject(WScript.Shell) shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions
Speichern Sie diese Datei unter C:\RESTORE.VBS.
Klicken Sie erneut auf Start > Ausführen. Geben Sie in das Textfeld C:\RESTORE.VBS ein, und drücken Sie die Eingabetaste.
Klicken Sie in der Meldung auf Ja, um die VBS-Datei auszuführen.

Step 3

Diesen Registrierungsschlüssel löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
- System

Step 4

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
- 2500 = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
- 2500 = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
- 2500 = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- 2500 = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4
- 2500 = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- NoProtectedModeBanner = "1"

Step 5

Diesen geänderten Registrierungswert wiederherstellen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
- From: 1609 = "0"
  To: 1609 = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
- From: 1609 = "0"
  To: 1609 = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
- From: 1609 = "0"
  To: 1609 = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- From: 1609 = "0"
  To: 1609 = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4
- From: 1609 = "0"
  To: 1609 = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
- FaultCount = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
- FaultTime = "976ca"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
- FaultCount = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
- FaultTime = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
- CleanShutdown = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\SysTray
- From: Services = "1f"
  To: Services = ""1f""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: LogSessionName = "stdout"
  To: LogSessionName = ""{random values}""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: Active = "1"
  To: Active = ""1""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: ControlFlags = "1"
  To: ControlFlags = ""1""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi\ImapiSvc
- From: Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
  To: Guid = ""8107d8e9-e323-49f5-bba2-abc35c243dca""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi\ImapiSvc
- From: BitNames = "{random characters}"
  To: BitNames = "" ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort""

Den Registrierungswert wiederherstellen, den diese Malware/Grayware/Spyware geändert hat:

Öffnen Sie den Registrierungs-Editor. Klicken Sie auf Start > Ausführen, geben Sie REGEDIT ein, und drücken Sie dann die Eingabetaste.
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>0
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
1609 = "0"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
1609 = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>1
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
1609 = "0"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
1609 = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>2
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
1609 = "0"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
1609 = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
1609 = "0"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
1609 = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>4
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
1609 = "0"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
1609 = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
FaultCount = "1"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
FaultTime = "976ca"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
FaultCount = "0"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
FaultTime = "0"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
CleanShutdown = "0"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Applets>SysTray
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
Services = "1f"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
Services = "1f"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
LogSessionName = "stdout"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
LogSessionName = "{random values}"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
Active = "1"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
Active = "1"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
ControlFlags = "1"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
ControlFlags = "1"
Doppelklicken Sie im linken Fensterbereich auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi>ImapiSvc
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
Again Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
BitNames = "{random characters}"
Klicken Sie mit der rechten Maustaste auf den Wertnamen, und wählen Sie Ändern. Ändern Sie den Wert dieses Eintrags in:
BitNames = " ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort"
Schließen Sie den Registrierungs-Editor.

Step 6

Diese Dateien suchen und löschen

[ learnMore ]

Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.

%User Startup%\{malware file name}.dll.lnk
%Temp%\13ayl74d.TMP

Step 7

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als TROJ_NOTOOLS.USB07VC entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Participez à notre enquête!

Overview

Détails techniques

Solutions

Ressources

Support

À propos de Trend

Siège social national