TROJ_MALAGENT.JG

Publish date: 26 de julio de 2013

Alias

Trojan:Win32/Malagent, Trojan:Win32/Malagent, Trojan:Win32/Msposer.A, Trojan:Win32/Msposer.A (Microsoft); [0002da4c.EXE\0002e290.EXE]:New Malware.dw !! (McAfee); Infostealer.Bancos (Symantec); Trojan-Spy.Win32.Vkont.ha (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); ERROR (FSecure); Found Luhe.Packed.A.dropper, Trojan horse Dropper.Generic2.CHHB, Trojan horse Dropper.Generic2.CHHB. (AVG)

Plataforma:

Windows 2000, Windows XP, Windows Server 2003

Riesgo general:

Potencial de destrucción:

Potencial de distribución:

Infección divulgada:

Bajo

Medio

High

Crítico

Tipo de malware
Trojan
Destructivo?
No
Cifrado
In the Wild:
Sí

Resumen y descripción

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles técnicos

Tamaño del archivo 499,749 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 30 de abril de 2013

Técnica de inicio automático

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\EventLog\Application\
GenericHostProcess

Otras modificaciones del sistema

Elimina los archivos siguientes:

%System%\dllcache\svchost.exe
%Windows%\1230.reg
%Windows%\1.bat

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\Control

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib

HKEY_CLASSES_ROOT\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}

HKEY_CLASSES_ROOT\NTService.Control.1

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
445:TCP = "445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
137:UDP = "137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
138:UDP = "138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
139:TCP = "139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%windir%\system32\dllcache\svchost.exe = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%windir%\system32\tlntsvr.exe = "%windir%\system32\tlntsvr.exe:*:Enabled:????"

HKEY_CURRENT_USER\Software\Microsoft\
DirectInput\MostRecentApplication
Version = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
DirectInput\MostRecentApplication
Name = "SVCHOST.EXE"

HKEY_CURRENT_USER\Software\Microsoft\
DirectInput\MostRecentApplication
Id = "SVCHOST.EXE4BF7C3D500048000"

HKEY_CURRENT_USER\Software\Microsoft\
DirectInput\MostRecentApplication
MostRecentStart = "{random values}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
GenericHostProcess
EventMessageFile = "%System%\ntsvc.ocx"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
GenericHostProcess
TypesSupported = "7"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
NTService.Control.1
CLSID = "{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
ProgID = "NTService.Control.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
InprocServer32 = "%System%\ntsvc.ocx"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
ToolboxBitmap32 = "%System%\ntsvc.ocx, 1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
MiscStatus = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
MiscStatus\1 = "199824"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
TypeLib = "{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
Version = "1.0"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\HideFileExt
UncheckedValue = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(Note: The default value data of the said registry entry is 2.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
SuperHidden = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Lsa
restrictanonymous = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Lsa
limitblankpassworduse = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_EHAPCY = "{random values}"

(Note: The default value data of the said registry entry is {random values}.)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Epoch
Epoch = "1ed"

(Note: The default value data of the said registry entry is 3d.)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Print\Providers
LogonTime = "{random values}"

(Note: The default value data of the said registry entry is {random values}.)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Lsa
forceguest = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CabinetState
FullPath = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\InprocServer32
ThreadingModel = "Apartment"

(Note: The default value data of the said registry entry is Apartment.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
Version = "1.0"

(Note: The default value data of the said registry entry is 1.0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
Version = "1.0"

(Note: The default value data of the said registry entry is 1.0.)

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{248DD897-BB45-11CF-9ABC-0080C7E7B78D}

Soluciones

Motor de exploración mínimo 9.300

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ aprenda más ]

Step 3

Eliminar esta clave del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Application
- GenericHostProcess

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}
- Control

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
- {248DD890-BB45-11CF-9ABC-0080C7E7B78D}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}\1.0
- 0

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
- {E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}
- 1.0

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0
- FLAGS

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0
- 0

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0\0
- win32

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}\1.0
- HELPDIR

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
- {E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}
- ProxyStubClsid

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}
- ProxyStubClsid32

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}
- TypeLib

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
- {E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}
- ProxyStubClsid

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}
- ProxyStubClsid32

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}
- TypeLib

In HKEY_CLASSES_ROOT\CLSID
- {E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}

In HKEY_CLASSES_ROOT
- NTService.Control.1

Para eliminar la clave del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>EventLog>Application
También en el panel izquierdo, busque y elimine la clave:
GenericHostProcess
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{248DD896-BB45-11CF-9ABC-0080C7E7B78D}
También en el panel izquierdo, busque y elimine la clave:
Control
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib
También en el panel izquierdo, busque y elimine la clave:
{248DD890-BB45-11CF-9ABC-0080C7E7B78D}
También en el panel izquierdo, busque y elimine la clave:
{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}
También en el panel izquierdo, busque y elimine la clave:
1.0
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}>1.0
También en el panel izquierdo, busque y elimine la clave:
FLAGS
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>TypeLib>{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}>1.0>0
También en el panel izquierdo, busque y elimine la clave:
win32
También en el panel izquierdo, busque y elimine la clave:
HELPDIR
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface
También en el panel izquierdo, busque y elimine la clave:
{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid32
También en el panel izquierdo, busque y elimine la clave:
TypeLib
También en el panel izquierdo, busque y elimine la clave:
{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid
También en el panel izquierdo, busque y elimine la clave:
ProxyStubClsid32
También en el panel izquierdo, busque y elimine la clave:
TypeLib
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT>CLSID
También en el panel izquierdo, busque y elimine la clave:
{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CLASSES_ROOT
También en el panel izquierdo, busque y elimine la clave:
NTService.Control.1
Cierre el Editor del Registro.

Step 4

Eliminar este valor del Registro

[ aprenda más ]

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 445:TCP = "445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 137:UDP = "137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 138:UDP = "138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 139:TCP = "139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- %windir%\system32\dllcache\svchost.exe = "{random characters}"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- %windir%\system32\tlntsvr.exe = "%windir%\system32\tlntsvr.exe:*:Enabled:????"

In HKEY_CURRENT_USER\Software\Microsoft\DirectInput\MostRecentApplication
- Version = "{random values}"

In HKEY_CURRENT_USER\Software\Microsoft\DirectInput\MostRecentApplication
- Name = "SVCHOST.EXE"

In HKEY_CURRENT_USER\Software\Microsoft\DirectInput\MostRecentApplication
- Id = "SVCHOST.EXE4BF7C3D500048000"

In HKEY_CURRENT_USER\Software\Microsoft\DirectInput\MostRecentApplication
- MostRecentStart = "{random values}"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\GenericHostProcess
- EventMessageFile = "%System%\ntsvc.ocx"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\GenericHostProcess
- TypesSupported = "7"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib
- Version = "1.0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}\TypeLib
- Version = "1.0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\NTService.Control.1
- CLSID = "{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- ProgID = "NTService.Control.1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- InprocServer32 = "%System%\ntsvc.ocx"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- ToolboxBitmap32 = "%System%\ntsvc.ocx, 1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- MiscStatus = "0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- MiscStatus\1 = "199824"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- TypeLib = "{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
- Version = "1.0"

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>GloballyOpenPorts>List
En el panel derecho, busque y elimine la entrada:
445:TCP = "445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005"
En el panel derecho, busque y elimine la entrada:
137:UDP = "137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001"
En el panel derecho, busque y elimine la entrada:
138:UDP = "138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002"
En el panel derecho, busque y elimine la entrada:
139:TCP = "139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
En el panel derecho, busque y elimine la entrada:
%windir%\system32\dllcache\svchost.exe = "{random characters}"
En el panel derecho, busque y elimine la entrada:
%windir%\system32\tlntsvr.exe = "%windir%\system32\tlntsvr.exe:*:Enabled:????"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>DirectInput>MostRecentApplication
En el panel derecho, busque y elimine la entrada:
Version = "{random values}"
En el panel derecho, busque y elimine la entrada:
Name = "SVCHOST.EXE"
En el panel derecho, busque y elimine la entrada:
Id = "SVCHOST.EXE4BF7C3D500048000"
En el panel derecho, busque y elimine la entrada:
MostRecentStart = "{random values}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Eventlog>Application>GenericHostProcess
En el panel derecho, busque y elimine la entrada:
EventMessageFile = "%System%\ntsvc.ocx"
En el panel derecho, busque y elimine la entrada:
TypesSupported = "7"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{E7BC34A1-BA86-11CF-84B1-CBC2DA68BF6C}>TypeLib
En el panel derecho, busque y elimine la entrada:
Version = "1.0"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{E7BC34A2-BA86-11CF-84B1-CBC2DA68BF6C}>TypeLib
En el panel derecho, busque y elimine la entrada:
Version = "1.0"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>NTService.Control.1
En el panel derecho, busque y elimine la entrada:
CLSID = "{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{E7BC34A3-BA86-11CF-84B1-CBC2DA68BF6C}
En el panel derecho, busque y elimine la entrada:
ProgID = "NTService.Control.1"
En el panel derecho, busque y elimine la entrada:
InprocServer32 = "%System%\ntsvc.ocx"
En el panel derecho, busque y elimine la entrada:
ToolboxBitmap32 = "%System%\ntsvc.ocx, 1"
En el panel derecho, busque y elimine la entrada:
MiscStatus = "0"
En el panel derecho, busque y elimine la entrada:
MiscStatus\1 = "199824"
En el panel derecho, busque y elimine la entrada:
TypeLib = "{E7BC34A0-BA86-11CF-84B1-CBC2DA68BF6C}"
En el panel derecho, busque y elimine la entrada:
Version = "1.0"
Cierre el Editor del Registro.

Step 5

Restaurar este valor del Registro modificado

[ aprenda más ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt
- UncheckedValue = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
- From: CheckedValue = "0"
  To: CheckedValue = ""1""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
- From: UncheckedValue = "0"
  To: UncheckedValue = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: Hidden = "2"
  To: Hidden = ""2""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: HideFileExt = "1"
  To: HideFileExt = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- SuperHidden = "1"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa
- restrictanonymous = "0"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa
- From: limitblankpassworduse = "0"
  To: limitblankpassworduse = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count
- From: HRZR_EHAPCY = "{random values}"
  To: HRZR_EHAPCY = ""{random values}""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch
- From: Epoch = "1ed"
  To: Epoch = ""3d""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
- From: LogonTime = "{random values}"
  To: LogonTime = ""{random values}""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa
- From: forceguest = "0"
  To: forceguest = ""1""

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState
- FullPath = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\InprocServer32
- From: ThreadingModel = "Apartment"
  To: ThreadingModel = ""Apartment""

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
- From: Version = "1.0"
  To: Version = ""1.0""

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
- From: Version = "1.0"
  To: Version = ""1.0""

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>HideFileExt
En el panel derecho, busque este valor del Registro:
UncheckedValue = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>Hidden>SHOWALL
En el panel derecho, busque este valor del Registro:
CheckedValue = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
CheckedValue = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
En el panel derecho, busque este valor del Registro:
UncheckedValue = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
UncheckedValue = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
En el panel derecho, busque este valor del Registro:
Hidden = "2"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Hidden = "2"
Again En el panel derecho, busque este valor del Registro:
HideFileExt = "1"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
HideFileExt = "1"
Again En el panel derecho, busque este valor del Registro:
SuperHidden = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Lsa
En el panel derecho, busque este valor del Registro:
restrictanonymous = "0"
Again En el panel derecho, busque este valor del Registro:
limitblankpassworduse = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
limitblankpassworduse = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>UserAssist>{75048700-EF1F-11D0-9888-006097DEACF9}>Count
En el panel derecho, busque este valor del Registro:
HRZR_EHAPCY = "{random values}"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
HRZR_EHAPCY = "{random values}"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Epoch
En el panel derecho, busque este valor del Registro:
Epoch = "1ed"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Epoch = "3d"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Print>Providers
En el panel derecho, busque este valor del Registro:
LogonTime = "{random values}"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
LogonTime = "{random values}"
Again En el panel derecho, busque este valor del Registro:
forceguest = "0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
forceguest = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>CabinetState
En el panel derecho, busque este valor del Registro:
FullPath = "1"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{248DD896-BB45-11CF-9ABC-0080C7E7B78D}>InprocServer32
En el panel derecho, busque este valor del Registro:
ThreadingModel = "Apartment"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
ThreadingModel = "Apartment"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{248DD892-BB45-11CF-9ABC-0080C7E7B78D}>TypeLib
En el panel derecho, busque este valor del Registro:
Version = "1.0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Version = "1.0"
En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Interface>{248DD893-BB45-11CF-9ABC-0080C7E7B78D}>TypeLib
En el panel derecho, busque este valor del Registro:
Version = "1.0"
Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
Version = "1.0"
Cierre el Editor del Registro.

Step 6

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como TROJ_MALAGENT.JG En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!

TROJ_MALAGENT.JG

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

Oficina Principal en el País

TROJ_MALAGENT.JG

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

Oficina Principal en el País

América

Medio Oriente & África

Europa

Asia & Pacífico