WORM_INSTYLER.AA
Hacktool (Symantec); ARC:Instyler, PAK:[5972932.INS]:Molebox, PAK:[5972932.INS]:UPX, [5972932.INS]:Backdoor.Win32.mIRC-ba (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Backdoor.Bot.100628 (FSecure)
Windows 2000, Windows XP, Windows Server 2003
Threat Type:
Worm
Destructiveness:
No
Encrypted:
In the wild::
Yes
OVERVIEW
Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.
TECHNICAL DETAILS
Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WinXPService = "%Program Files%\k4v.pif"
Otras modificaciones del sistema
Elimina los archivos siguientes:
- %Program Files%\password.val
(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).
)Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_CURRENT_USER\Software\mIRC
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
HKEY_CLASSES_ROOT\.cha
HKEY_CLASSES_ROOT\.chat
HKEY_CLASSES_ROOT\ChatFile
HKEY_CLASSES_ROOT\ChatFile\DefaultIcon
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\command
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Application
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\ifexec
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Topic
HKEY_LOCAL_MACHINE\Software\Classes\
irc
HKEY_LOCAL_MACHINE\Software\Classes\
irc\DefaultIcon
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
command
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Application
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\ifexec
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Topic
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
Agrega las siguientes entradas de registro:
HKEY_CURRENT_USER\Software\mIRC
DateUsed = "1326477047"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
DisplayName = "mIRC"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
UninstallString = "%Program Files%\k4v.pif -uninstall"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
irc
EditFlags = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
VoiceEnabled = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseVoiceTips = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
KeyHoldHotKey = "91"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBeepSRPrompt = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRTimerDelay = "7d"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRModeID = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
EnableSpeaking = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBalloon = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseCharacterFont = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseSoundEffects = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SpeakingSpeed = "5"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetX = "f423f"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetY = "f423f"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetWidth = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetHeight = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetPage = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLeft = "ffffffff"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowTop = "ffffffff"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowWidth = "c8"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowHeight = "c8"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLocationSet = "0"
Rutina de infiltración
Infiltra los archivos siguientes:
- %Program Files%\0313.INS
- %Program Files%\86102025.INS
- %Program Files%\27296716.INS
- %Program Files%\31861617.INS
- %Program Files%\37224256.INS
- %Program Files%\8204747.INS
- %Program Files%\7058408.INS
- %Program Files%\91723679.INS
- %Program Files%\77463279.INS
- %Program Files%\69768441.INS
- %Program Files%\71793066.INS
- %Program Files%\16263294.INS
- %Program Files%\46602466.INS
- %Program Files%\82562790.INS
- %Program Files%\48171491.INS
- %Program Files%\87432872.INS
- %Program Files%\77279764.INS
- %Program Files%\49258879.INS
- %Program Files%\8272202.INS
- %Program Files%\e21.reg
- %Program Files%\w97.reg
- %Program Files%\a5p63.msp
(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).
)
SOLUTION
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Reiniciar en modo seguro
Step 3
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software
- mIRC
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
- mIRC
- In HKEY_CLASSES_ROOT
- .cha
- In HKEY_CLASSES_ROOT
- .chat
- In HKEY_CLASSES_ROOT
- ChatFile
- In HKEY_CLASSES_ROOT\ChatFile
- DefaultIcon
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- command
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- ddeexec
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Application
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- ifexec
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Topic
- In HKEY_LOCAL_MACHINE\Software\Classes
- irc
- In HKEY_LOCAL_MACHINE\Software\Classes\irc
- DefaultIcon
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- command
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- ddeexec
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Application
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- ifexec
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Topic
- In HKEY_CURRENT_USER\Software\Microsoft
- Microsoft Agent
Step 4
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- WinXPService = "%Program Files%\k4v.pif"
- In HKEY_CURRENT_USER\Software\mIRC
- DateUsed = "1326477047"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- DisplayName = "mIRC"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- UninstallString = "%Program Files%\k4v.pif -uninstall"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\irc
- EditFlags = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- VoiceEnabled = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseVoiceTips = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- KeyHoldHotKey = "91"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBeepSRPrompt = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRTimerDelay = "7d"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRModeID = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- EnableSpeaking = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBalloon = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseCharacterFont = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseSoundEffects = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SpeakingSpeed = "5"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetX = "f423f"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetY = "f423f"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetWidth = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetHeight = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetPage = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLeft = "ffffffff"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowTop = "ffffffff"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowWidth = "c8"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowHeight = "c8"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLocationSet = "0"
Step 5
Buscar y eliminar estos archivos
- %Program Files%\0313.INS
- %Program Files%\86102025.INS
- %Program Files%\27296716.INS
- %Program Files%\31861617.INS
- %Program Files%\37224256.INS
- %Program Files%\8204747.INS
- %Program Files%\7058408.INS
- %Program Files%\91723679.INS
- %Program Files%\77463279.INS
- %Program Files%\69768441.INS
- %Program Files%\71793066.INS
- %Program Files%\16263294.INS
- %Program Files%\46602466.INS
- %Program Files%\82562790.INS
- %Program Files%\48171491.INS
- %Program Files%\87432872.INS
- %Program Files%\77279764.INS
- %Program Files%\49258879.INS
- %Program Files%\8272202.INS
- %Program Files%\e21.reg
- %Program Files%\w97.reg
- %Program Files%\a5p63.msp
Step 6
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como WORM_INSTYLER.AA En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.