WORM_RONTKBR.F

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam. Llega tras conectar las unidades extraíbles afectadas a un sistema.

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Infiltra copias de sí mismo en todas las unidades extraíbles conectadas a un sistema afectado.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\csrss.exe
• %Application Data%\inetinfo.exe
• %Application Data%\lsass.exe
• %Application Data%\services.exe
• %Application Data%\smss.exe
• %System%\{user name}'S SETTING.SCR
• %User Profile%\TEMPLATES\Brengkolang.com
• %Windows%\eksplorasi.exe
• %Windows%\SHELLNEW\semaplong.exe

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
WIndows\CurrentVersion\Run
Tok-Cirrhatus = "%Application Data%\{random}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bron-Spizaetus = "%Windows%\ShellNew\sempalong.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %Windows%\sembako-{random}"

(Note: The default value data of the said registry entry is "Explorer.exe".)

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\Empty.pif – copy of itself

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Otras modificaciones del sistema

Modifica los archivos siguientes:

• %System Root%\AUTOEXEC.BAT

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
"ShowSuperHidden" = "0"

(Note: The default value data of the said registry entry is 1.)

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableCMD = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "1"

Propagación

Infiltra copias de sí mismo en todas las unidades extraíbles conectadas a un sistema afectado.