WORM_PALEVO.KK

Para obtener una visión integral del comportamiento de este Worm, consulte el diagrama de amenazas que se muestra a continuación.

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Utiliza los iconos de archivos de ciertas aplicaciones para evitar su fácil detección y posterior eliminación.

Crea carpetas en todas las unidades físicas y extraíbles. Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Ejecuta determinados comandos que recibe de forma remota desde un usuario malicioso. De esta forma pone en gran peligro el equipo afectado y la información del mismo.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

• SWF_PALEVO.KK

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba los siguientes sitios Web maliciosos:

• http://www.{BLOCKED}com.com/FlashPlayer10.0.45.2.exe

Instalación

Agrega las carpetas siguientes:

• %System Root%\RECYCLER
• %System Root%\RECYCLER\{SID}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\RECYCLER\{SID}\recycle.exe
• %User Temp%\setup32temp.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Infiltra los archivos siguientes:

• %System Root%\RECYCLER\{SID}\Desktop.ini
• {drive letter}:\U3ROM\Desktop.ini

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Utiliza los iconos de archivos de las siguientes aplicaciones:

• Recycle Bin

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{SID}\recycle.exe"

Propagación

Crea las carpetas siguientes en todas las unidades físicas y extraíbles:

• {drive letter}:\U3ROM

Infiltra una copia de sí mismo en las carpetas siguientes que usan las redes de igual a igual (P2P):

• Ares
• BearShar
• iMesh
• Shareaza
• Kazaa
• DC++
• eMule
• LimeWire

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {drive letter}:\U3ROM\flyhigh.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Envía los mensajes siguientes mediante aplicaciones de mensajería instantánea mencionadas anteriormente:

MSN Messenger

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download other malware
• Update itself
• Launch Denial of Service (DoS) attacks against target systems

Otros detalles

Muestra las imágenes siguientes: