Descrizione e soluzione Adware.lop

[Skater]

Adware
Pericolosità: Media
Sistemi operativi interessati: Windows
Data scoperta: 2007-07-16

Fonte: ilsoftware


DESCRIZIONE

Quando Adware.Lop è installato, esegue equeste operazioni:


Crea un dll dal nome casuale nel percorso

%UserProfile%\Application Data\
Nota:

%UserProfile% è una variabile riferita alla cartella dell'utente corrente. Per default, si trova in C:\Documents and Settings\[CURRENT USER] (Windows NT/2000/XP).

Crea multiple copie del seguente file:

%ProgramFiles%\[Nome cartella casuale]\[Nome file casuale]

Nota:

%ProgramFiles% è una variabile riferita alla cartella dei programmi. Per default, si trova in C:\Program Files.

Il nome della cartella e del file sono composti da parole inglesi casuali, come:

team pure
bolt date book
OozeBind
Hold way amok
KEEP AXIS

Aggiunge il file .dll file come un Browser Helper Object nel registro.


Crea multiple copie dei seguenti file:

%Windir%\[[Nome file casuale].htm
%Windir%\[[Nome file casuale].gif
Nota:

%Windir% è una variabile riferita alla cartella di installazione di Windows. Per default, si trova in C:\Windows o C:\Winnt.

Crea i seguenti file:

%Temp%\Delete.me\Xpp.idx
%Temp%\Delete.me\Tbt.idx
Nota:

%Temp% è una variabile riferita alla cartella dei file temporanei. Per default, si trova in C:\Windows\TEMP (Windows 95/98/Me/XP) o C:\WINNT\Temp (Windows NT/2000).

Aggiunge una toolbar e un bottone di ricerca in Internet Explorer.

Aggiunge uno dei valori:

"(Default)" = "%ProgramFiles%\[RANDOM FOLDER NAME]\[RANDOM FILE NAME]"
"(Default)" = "%UserProfile%\Application Data\[RANDOM CHARACTERS].dll"
a una delle seguenti sottochiavi del regitro:

HKEY_CLASSES_ROOT\CLSID\[RANDOM CLSID]\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\[RANDOM CLSID]\InprocServer32


RIMOZIONE


1. Cliccare Start > Esegui e digitate "regedit"

2. Cliccare Edit > Find.

3. Inserire il nome dei file infetti trovati nei percorsi indicati precedentemente.

4. Cliccare "Find Next".

Ti troverai una delle seguenti sottochiavi:

HKEY_CLASSES_ROOT\CLSID\[RANDOM CLSID]\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\[RANDOM CLSID]\InprocServer32

contenente uno dei valori:

"(Default)" = "%ProgramFiles%\[RANDOM FOLDER NAME]\[RANDOM FILE NAME]"
"(Default)" = "%UserProfile%\Application Data\[RANDOM CHARACTERS].dll"

5. Annotate il nome delle cartelle nella sottochiave sopracitata


6. Nel pannello di destra cancellare i valori:

"(Default)" = "%ProgramFiles%\[RANDOM FOLDER NAME]\[RANDOM FILE NAME]"
"(Default)" = "%UserProfile%\Application Data\[RANDOM CHARACTERS].dll"

7. Cliccate Edit > Find.


8. Inserite il nome della cartelle precedentemente annotate


9. Cancellate ogni sottochiave trovata.


10. Uscire dall'editor del registro