WORM_TUFIK.AJ

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Este malware infiltra copias de sí mismo en las unidades extraíbles. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo. Los mensajes enviados contienen un enlace donde se puede descargar una copia del malware.

However, as of this writing, the said sites are inaccessible.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Este malware infiltra los siguientes archivos no maliciosos:

• %System%\Xpen.dat
• %System%\Penx.dat
• %Windows%\wininit.ini

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\dc.exe
• %Windows%\SVIQ.EXE
• %System%\WinSit.exe
• %System%\config\Win.exe
• %Windows%\system\Fun.exe
• %Windows%\inf\Other.exe
• %Windows%\Help\Other.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Este malware inyecta subprocesos en el/los siguiente(s) proceso(s) normal(es):

• csrss.exe
• lsass.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc2k5 = "%Windows%\SVIQ.EXE"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Fun = "%Windows%\system\Fun.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dc = "%Windows%\dc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = "%System%\config\Win.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%Windows%\inf\Other.exe"

(Note: The default value data of the said registry entry is "".)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %System%\WinSit.exe"

(Note: The default value data of the said registry entry is "Explorer.exe".)

Propagación

Este malware infiltra copias de sí mismo en las unidades extraíbles. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo.

Los mensajes enviados contienen el/los siguiente(s) enlace(s), donde se puede descargar una copia del malware:

• http://{BLOCKED}oivb.googlepages.com/NWB.txt

Envía copias de sí mismo a los destinatarios mediante las siguientes aplicaciones de mensajería instantánea:

• Yahoo! Messenger

Envía los mensajes siguientes mediante aplicaciones de mensajería instantánea mencionadas anteriormente:

Chuc mung, ban da tam thoi thoat khoi Worm DungCoi
http://{BLOCKED}ivb.googlepages.com/NWB.txt
Olalala, may tinh cua ban da dinh Worm DungCoi...........

Rutina de puerta trasera

However, as of this writing, the said sites are inaccessible.