VBS_KILLAV.AID

Cambia la página de inicio de Internet Explorer del usuario a un determinado sitio Web. Esta acción permite que el malware dirija a un sitio Web que contiene malware y aumente el riesgo de infección de malware del equipo afectado.

Detalles de entrada

Puede haberse descargado desde los sitios remotos siguientes:

• 222

Instalación

Infiltra los archivos siguientes:

• %Windows%\search.reg - reg data file component
• %Windows%\.reg - reg data file component
• %Windows%\SetWindowsIndex.reg - reg data file component
• %Windows%\MYShowIeLinkIe6.reg - reg data file component
• %Windows%\MyShowIeLinkIe7.reg - reg data file component
• %Windows%\AddRight.reg - reg data file component
• %System Root%\Documents and Settings\All Users\Desktop\{random}.tt - non-malicious file
• %System Root%\Documents and Settings\All Users\Desktop\{garbage characters}.bt - non-malicious file
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Internet Explorer.css - non-malicious file
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\360vbs.jse - non-malicious file
• %Favorites%\{garbage characters}.url - non-malicious file
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.css - non-malicious file

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\{random}.vbs

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\.bt

HKEY_CLASSES_ROOT\css

HKEY_CLASSES_ROOT\shb

HKEY_CLASSES_ROOT\tt

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309A}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\{garbage characters}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\.bt

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
FileExts\.tt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{871C5380-42A0-1069-A2EA-08002B30309A}

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden1 = 2

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
ITBar7Layout = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{B580CF65-E151-49C3-B73F-70B13FCA8E86} = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
{F2CF5485-4E02-4F68-819C-B92DE9277049} = {hex values}

Modifica las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.css
@ = css

(Note: The default value data of the said registry entry is CSSfile.)

HKEY_CLASSES_ROOT\.shb
@ = shb

(Note: The default value data of the said registry entry is DocShortcut.)

HKEY_CLASSES_ROOT\http\shell\
open\command
@ = "C:\Program Files\Internet Explorer\iexplore.exe" http://dianxin.online.cq.cn/api/http/index.htm? %1

(Note: The default value data of the said registry entry is "C:\Program Files\Internet Explorer\iexplore.exe" -nohome.)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar
LinksFolderName = Á´½Ó

(Note: The default value data of the said registry entry is Links.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Cambia la página de inicio de Internet Explorer del usuario a los siguientes sitios Web:

• http://www.{BLOCKED}g1234.com/?my=0