VBS_CANTIX.HV

Agrega determinadas entradas de registro para desactivar el Administrador de tareas. Esta acción impide que el usuario lleve a cabo la cancelación del proceso de malware, la cual suele realizarse a través del Administrador de tareas. Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• {folders}\dekstop.ini
• %AppDataLocal%\Microsoft\CD Burning\dekstop.ini
• %User Profile%\My Documents\df5srvc.bfe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Infiltra los archivos siguientes:

• %System%\rad4809c.tmp --> this is a decrypted version of the original malware file
• %System%\Serv60d.dll --> this is a blank file
• {folders}\Microsoft.lnk
• %System%\v.doc
• %AppDataLocal%\Microsoft\CD Burning\autorun.inf --> currently detected as: INF_CANTIX.DSL
• %System%\auto.exe --> currently detected as: INF_CANTIX.DSL

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Explorer = "Wscript.exe //e:VBScript "%AppDataLocal%\dekstop.ini""

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Df5serv = "Wscript.exe //e:VBScript "%User Profile%\My Documents\df5srvc.bfe""

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WinUpdate = "Wscript.exe //e:VBScript "%Windows%\:Microsoft Office Update for Windows XP.sysi"" --> this entry is added if the file system of drive C: is New Technology File System (NTFS)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden

HKEY_CLASSES_ROOT\CLSID\{11111111-2222-3333-4444-555555555555} --> this key is added on the 1st day of the month

HKLM\Software\Microsoft\
Windows\CurrentVersion\explorer\
Desktop\NameSpace\{11111111-2222-3333-4444-555555555555} --> this key is added on the 1st day of the month

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
WarningIfNotDefault = "fandy love yuyun"

HKEY_CLASSES_ROOT\CLSID\{11111111-2222-3333-4444-555555555555}
Serviks --> this entry is added on the 1st day of the month =

HKEY_CLASSES_ROOT\CLSID\{11111111-2222-3333-4444-555555555555}
DefaultIcon = "shell32.dll,48" --> this entry is added on the 1st day of the month

HKEY_CLASSES_ROOT\CLSID\{11111111-2222-3333-4444-555555555555}\
ShellFolder
Attributes = "0" --> this entry is added on the 1st day of the month

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
CheckedValue = "0"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = "0"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
DefaultValue = "0"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}dot.co.nr"

(Note: The default value data of the said registry entry is {default user home page}.)

Agrega las siguientes entradas de registro para desactivar el Administrador de tareas:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistrytools = "1"

Elimina las siguientes claves de registro:

HKEY_CLASSES_ROOT\lnkfile\IsShortcut

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {removable drive}:\dekstop.ini

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.