WORM_NUQEL.AX

Llega tras conectar las unidades extraíbles afectadas a un sistema. Llega tras acceder a redes compartidas afectadas.

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra. Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta. Elimina entradas de registro de inicio automático asociadas con los procesos que finaliza para desactivar por completo las aplicaciones.

Se propaga a través de las redes compartidas e infiltra copias de sí mismo en las redes disponibles.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Llega tras acceder a redes compartidas afectadas.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Windows%\IEXPLORER.EXE
• %System%\IEXPLORER.EXE
• %System%\WORD.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware infiltra el/los siguiente(s) archivo(s):

• %Windows%\setting.ini
• %System%\autorun.ini
• %Windows%\Tasks\At1.job

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Utiliza el icono predeterminado de la carpeta de Windows para engañar a los usuarios e incitarles a abrirla. Si hace doble clic en el archivo se ejecutará este malware.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Yahoo Messengger = "%System%\IEXPLORER.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe IEXPLORER.exe"

(Note: The default value data of the said registry entry is Explorer.exe.)

La tarea programada ejecuta el malware en el período siguiente:

• Everyday at 09:00

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = "0"

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

Elimina entradas de registro de inicio automático asociadas con los procesos que finaliza para desactivar por completo las aplicaciones.

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
{4D36E967-E325-11CE-BFC1-08002BE10318}
{default} = "DiskDrive"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
{4D36E967-E325-11CE-BFC1-08002BE10318}
{default} = "DiskDrive"

Infección de archivo

Se propaga a través de las redes compartidas e infiltra copias de sí mismo en las redes disponibles.

Propagación

Infiltra copias de sí mismo en las carpetas compartidas siguientes:

• game_y.exe

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• Bi mat.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Rutina de descarga

No obstante, de este modo no se podrá acceder a los sitios mencionados.