WORM_YAHLOVER.LJ

Llega tras conectar las unidades extraíbles afectadas a un sistema. Llega tras acceder a redes compartidas afectadas. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra. Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Llega tras acceder a redes compartidas afectadas.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• {install directory}\system3_.exe

Infiltra los archivos siguientes:

• {install directory}\autorun.ini - copy of autorun.inf
• %Windows%\Tasks\At1.job

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Yahoo Messengger = "{install directory}\system3_.exe"

La tarea programada ejecuta el malware con cada:

• 9:00 AM

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = "0"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Search_URL = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Page_URL = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Search Page = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

Propagación

Busca carpetas en todas las unidades físicas y extraíbles e infiltra copias de sí mismo dentro de ellas con el formato {nombre de carpeta}.EXE.

Este malware infiltra las siguientes copias de sí mismo en todas las unidades físicas y extraíbles:

• New Folder.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Envía los mensajes siguientes mediante aplicaciones de mensajería instantánea mencionadas anteriormente:

happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks from URL
happy valentine day screen saver and beautiful screen saver from lovers http://{BLOCKED}gle. 0catch. com/love.scr and URL
golden lovers rose screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and see more from URL
rose is always red ,see in http://{BLOCKED}gle. 0catch. com/love.scr screen saver from URL
happy valentine day screen saver from http://{BLOCKED}gle.0catch. com/love.scr and get new tips and tricks from URL
I LOVE YOUUUUUUUUUUUUU from screensaver http://{BLOCKED}gle. 0catch. com/love.scr see more in URL happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks from URL
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks for lovers URL
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and view secrets from private cam BIN
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and view secrets from private cam BIN

Envía mensajes que contienen enlaces a sitios con copias remotas de sí mismo mediante las siguientes aplicaciones de mensajería instantánea:

• Yahoo Messenger
• Google Talk

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• game_y.exe
• cmd.exe