ADW_SPROTECT.GA
Generic-FAOD!471BCDE65E62 (McAfee); Trojan.Win32.Agent.agewu (Kaspersky); Mal/Drop-AVTZ (Sophos); Trojan.Win32.Sprotect.a (v) (Sunbelt); Trojan horse Dropper.Generic_r.AF (AVG)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
Tipo di minaccia informatica:
Adware
Distruttivo?:
No
Crittografato?:
In the wild::
Sì
Panoramica e descrizione
Incluye un paquete de desinstalación que elimina completamente los archivos y registros infiltrados. Este malware se elimina tras la ejecución.
Dettagli tecnici
Instalación
Este malware infiltra el/los siguiente(s) archivo(s):
- %All Users Profile%\Assistant\Assistant.dll - also detected as ADW_SPROTECT.GA
- %All Users Profile%\Assistant\AssistantSvc.dll - also detected as ADW_SPROTECT.GA
Crea las carpetas siguientes:
- %All Users Profile%\Assistant
Técnica de inicio automático
Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03
NextInstance = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Service = "e64a4d03"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Legacy = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
ConfigFlags = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
Class = "LegacyDriver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
ClassGUID = "{GUID}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
DeviceDesc = "Assistant"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control
*NewlyCreated* = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control
ActiveService = "e64a4d03"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
Type = "10"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ImagePath = ""%System%\rundll32.EXE" "%All Users Profile%\Assistant\AssistantSvc.dll",service"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
DisplayName = "Assistant"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Security
Security = "{value}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
0 = "Root\LEGACY_E64A4D03\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
Count = "1
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
NextInstance = "1
Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_E64A4D03\
0000\Control
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Security
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\e64a4d03\Enum
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_CURRENT_USER\Software\AppDataLow
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03\eae10f9d
HKEY_LOCAL_MACHINE\SOFTWARE\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03\eae10f9d
HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
Agrega las siguientes entradas de registro:
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
date = "14{random}"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
data.0 = "{random}"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
data.1 = "{random}"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
usr.0 = "{random}"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
usr.1 = "{random}"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
uuid = "baadc0de-baadbeef-b0b2d6e3"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
lrts = "0"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
mode = "f0000000"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03
iiid = "1"
HKEY_CURRENT_USER\Software\AppDataLow\
{5F189DF5-2D05-472B-9091-84D9848AE48B}\_e64a4d03\00000000
{random} = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
n = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
date = "14{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
data.0 = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
data.1 = "{random}
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
usr.0 = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
usr.1 = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
version = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
uuid = "baadc0de-baadbeef-b0b2d6e3"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
state = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
lrts = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
mode = "f0000000"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svn = "Assistant"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svx = ""
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svi = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svt = "539fc126"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
iiid = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
dlpath = "%All Users Profile%\Assistant\Assistant.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
svpath = "%All Users Profile%\Assistant\AssistantSvc.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03
Install_Dir = "%All Users Profile%\Assistant"
HKEY_LOCAL_MACHINE\SOFTWARE\{5F189DF5-2D05-472B-9091-84D9848AE48B}\
_e64a4d03\00000000
{random} = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}
e64a4d03 = "%All Users Profile%\Assistant\Assistant.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\{77D46E27-0E41-4478-87A6-AABE6FBCF252}
n = "1"
Modifica las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%All Users Profile%\Assistant\Assistant.dll"
(Note: The default value data of the said registry entry is "".)
Otros detalles
Agrega las siguientes entradas de registro para añadir una opción de desinstalación al Panel de control:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
UninstallString = ""%System%\rundll32.exe" "%All Users Profile%\Assistant\Assistant.dll",_uninstall /un"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
QuietUninstallString = ""%System%\rundll32.exe" "%All Users Profile%\Assistant\Assistant.dll",_uninstall /un /uq"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
NoModify = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
NoRepair = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
Publisher = "Verified Publisher"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
InstallDate = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
CategoryName = ""
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
DisplayName = "Assistant"
Incluye un paquete de desinstalación que elimina completamente los archivos infiltrados y registros agregados.
Este malware se elimina tras la ejecución.
Soluzioni
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Reiniciar en modo seguro
Step 3
Quitar ADW_SPROTECT.GA por medio de su propia opción de desinstalación
Step 4
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software
- AppDataLow
- AppDataLow
- In HKEY_LOCAL_MACHINE\SOFTWARE
- {3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
- {3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
- In HKEY_LOCAL_MACHINE\SOFTWARE
- {5F189DF5-2D05-472B-9091-84D9848AE48B}
- {5F189DF5-2D05-472B-9091-84D9848AE48B}
- In HKEY_LOCAL_MACHINE\SOFTWARE
- {77D46E27-0E41-4478-87A6-AABE6FBCF252}
- {77D46E27-0E41-4478-87A6-AABE6FBCF252}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- {5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
- {5F189DF5-2D05-472B-9091-84D9848AE48B}{e64a4d03}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
- LEGACY_E64A4D03
- LEGACY_E64A4D03
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- e64a4d03
- e64a4d03
Step 5
Restaurar este valor del Registro modificado
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows NT\CurrentVersion\Windows
- From: AppInit_DLLs = "%All Users Profile%\Assistant\Assistant.dll"
To: AppInit_DLLs = ""
- From: AppInit_DLLs = "%All Users Profile%\Assistant\Assistant.dll"
Step 6
Buscar y eliminar esta carpeta
- %All Users Profile%\Assistant
Step 7
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como ADW_SPROTECT.GA En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Sondaggio