SIMPLE CRYPTER 1/35


[Enlace externo eliminado para invitados]

[Enlace externo eliminado para invitados]
rar pass: 1234567

creo que para ser un crypter 1/35 no deberias haberle puesto una contraseña tan facil de acceder, saludos!

Analisis
- Sin conexiones
- Sin drops
- Sin procesos creados
- Sin inyecciones
- Sin autoinicio

En un principio me parecio que estaba todo bien, pero hay 4 modificaciones en el registro que no termino de entender

HKU\S-1-5-21-2052111302-1202660629-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\MRUList: "jihgfdceba"
HKU\S-1-5-21-2052111302-1202660629-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\MRUList: "ajihgfdceb"
HKU\S-1-5-21-2052111302-1202660629-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\exe\MRUList: "edbajihcgf"
HKU\S-1-5-21-2052111302-1202660629-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\exe\MRUList: "fedbajihcg"

El tema es que hay un virus que tambien modifica valores parecidos en el registro, es el RDN/Generic.dx!, segun McAfee

HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\COMDLG32\OPENSAVEMRU\*\C = [binary data]
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\COMDLG32\OPENSAVEMRU\*\MRULIST = cba

Esa es la unica duda que tengo sobre si esta limpio o no, de momento espero alguna segunda opinion.

Saludos