WORM_PATCH.RL

Para terminar el proceso de malware/grayware/spyware:

1. Explore el equipo con su producto de Trend Micro y anote los nombres de los archivos de malware detectados.
2. Abra el Administrador de tareas de Windows.
   • Para usuarios de Windows 98 y ME, pulse
   CTRL+ALT+SUPR
   . • Para usuarios de Windows NT, 2000, XP y Server 2003, pulse
   CTRL+MAYÚS+ESC y, a continuación, haga clic en la pestaña Procesos.
3. En la lista de programas en ejecución, busque el archivo de malware/grayware/spyware detectado anteriormente.
4. Seleccione los archivos detectados y, a continuación, pulse el botón Finalizar tarea o Terminar proceso, según cuál sea la versión de Windows que use.
5. Proceda del mismo modo con el resto de archivos de malware/grayware/spyware detectados en la lista de programas en ejecución.
6. Para confirmar que el proceso de malware/grayware/spyware ha terminado, cierre el Administrador de tareas y vuelva a abrirlo.
7. Cierre el Administrador de tareas.

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
2. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. En el panel derecho, busque y elimine la entrada:
   {Host Name}? = "%Application Data%\java\?shimgvw?.exe"
4. En el panel derecho, busque y elimine la entrada:
   jre? = %Application Data%\java\?jview?.exe
5. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Policies>System
6. En el panel derecho, busque y elimine la entrada:
   EnableLUA = 0
7. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Control Panel>Desktop
8. En el panel derecho, busque y elimine la entrada:
   AutoEndTasks = 1
9. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>System
10. En el panel derecho, busque y elimine la entrada:
    EnableLUA = 0
11. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_CLASSES_ROOT>exefile
12. En el panel derecho, busque y elimine la entrada:
    NeverShowExt = ""
13. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_CLASSES_ROOT>jpegfile
14. En el panel derecho, busque y elimine la entrada:
    NeverShowExt = ""
15. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
16. En el panel derecho, busque y elimine la entrada:
    AntiVirusOverridex = 1
17. En el panel derecho, busque y elimine la entrada:
    AntiVirusDisableNotify = 1
18. En el panel derecho, busque y elimine la entrada:
    FirewallDisableNotify = 1
19. En el panel derecho, busque y elimine la entrada:
    FirewallOverride = 1
20. En el panel derecho, busque y elimine la entrada:
    UpdatesDisableNotify = 1
21. En el panel derecho, busque y elimine la entrada:
    UacDisableNotify = 1
22. En el panel derecho, busque y elimine la entrada:
    FirstRunDisabledx = 1
23. Cierre el Editor del Registro.

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
2. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>jpegfile>DefaultIcon
3. En el panel derecho, busque este valor del Registro:
   (default) = "%Application Data%\java\{Random Character}shimgvw.exe{Random Character},0"
4. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
   (default) = "%SystemRoot%\System32\imageres.dll,-72"
5. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Control Panel>Desktop
6. En el panel derecho, busque este valor del Registro:
   AutoEndTasks = "1"
7. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
   AutoEndTasks = "0"
8. Again En el panel derecho, busque este valor del Registro:
   HungAppTimeout = "400"
9. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
   HungAppTimeout = "5000"
10. Again En el panel derecho, busque este valor del Registro:
    WaitToKillAppTimeout = "400"
11. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    WaitToKillAppTimeout = "20000"
12. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control
13. En el panel derecho, busque este valor del Registro:
    WaitToKillServiceTimeout = "2000"
14. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    WaitToKillServiceTimeout = "20000"
15. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>SystemRestore
16. En el panel derecho, busque este valor del Registro:
    DisableSR = 1
17. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    DisableSR = 0
18. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
19. En el panel derecho, busque este valor del Registro:
    UncheckedValue = 0
20. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    UncheckedValue = 1
21. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
22. En el panel derecho, busque este valor del Registro:
    ShowSuperHidden = 0
23. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    ShowSuperHidden = 1
24. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>HideFileExt
25. En el panel derecho, busque este valor del Registro:
    DefaultValue = 1
26. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    DefaultValue = 2
27. Cierre el Editor del Registro.

Para eliminar la clave del Registro que este malware/grayware/spyware ha creado:

1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
2. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
3. También en el panel izquierdo, busque y elimine la clave:
   Svc
4. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options
5. También en el panel izquierdo, busque y elimine la clave:
   {Application Name}
6. Cierre el Editor del Registro.

Para identificar y eliminar los archivos de AUTORUN.INF creados:

1. Haga clic con el botón derecho en el botón Inicio y elija Buscar....
2. En el cuadro de entrada Nombre, escriba:
   AUTORUN.INF
3. En la lista desplegable Buscar en:, seleccione una unidad y pulse Intro.
4. Seleccione el archivo y ábralo con el Bloc de notas.
5. Compruebe si el archivo contiene las siguientes líneas:
   
   ;{garbage}
   [Autorun]
   ;{garbage}
   UseAutoPlay=1
   ;{garbage}
   Action=Open folder to view files
   ;{garbage}
   Open=RÈCYCLER\thumbs.db
   ;{garbage}
   Shell\Open\Default=1
   ;{garbage}
   Shell\Explore\Command=RÈCYCLER\thumbs.db
   ;{garbage}
6. Si estas líneas existen, elimine el archivo.
7. Repita los pasos 3 a 6 con el resto de archivos de AUTORUN.INF en las demás unidades extraíbles.
8. Cierre Resultado de la búsqueda.

Para eliminar la carpeta de malware/grayware/spyware:

1. Haga clic con el botón derecho en Inicio y haga clic en Buscar....
2. En el cuadro de entrada Nombre, escriba:
   
   %Application Data%\Microsoft\CD Burning\RÈCYCLER
   {Drive Letter}:\RÈCYCLER\thumbs.db
3. En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
4. Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.