trojan.wintrash
tipo: troyano
tama?o: 146,432 bytes
origen: internet
destructivo: si en la calle (in the wild): si detecci?n y eliminación the hacker 5.6, registro de virus al 18/06/2004
w32/wintrash , es un troyano en forma de instalador gentee, copia archivos que da?an al sistema operativo, esto causa que windows se reinicie inmediatamente cada vez que se trata de iniciar el sistema.
cuando el troyano se ejecuta muestra una pantalla negra que oculta las actividades que realiza este, seguidamente reinicia el sistema.
tambi?n se copia a si mismo dentro de:
temp \chichie.cxe temp \chidk.cxe temp \winfd.cxe system \msgsrv.cxe windows \xfwfm.cxe desktop \wincfd
nota:
- windows representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt )
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32)
- desktop representa c:\windows\desktop - temp representa la carpeta temp dentro de windows (ej. c:\windows\temp, c:\winnt\temp ) adem?s modifica una entrada en el registro para poder ejecutarse en el siguiente reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
msgsrv= system \msgsrv.exe
hkey_user\.default\software\microsoft\windows\currentversion\run
msgsrv= system \msgsrv.exe
tambien modifica las siguientes entradas que muestran el mensaje el administrador a deshabilitado el registro: hkey_current_user\software\microsoft\windows\currentversion\policies\system
disableregistrytools=dword:00000001
hkey_current_user\software\microsoft\windowsnt\currentversion\policies\system
disableregistrytools=dword:00000001
seguidamente crea la siguiente entrada para hacer que los archivos .cxe sea ejecutable:
hkey_classes_root\.cxe
(predeterminado)=exefile
luego modifica la siguiente entrada para que los archivos .exe no se ejecuten:
hkey_classes_root\.exe
(predeterminado)=htmlfi1e
finalmente modifica algunas entradas en el registro para que windows se apague cada vez que se reinicia el sistema, esto tambi?n ocasiona que no se pueda acceder a los discos desde windows, la informaci?n guardada en las unidades no es afectada y es accesible desde el modo dos nativo de windows 95/98/me.
hkey_current_user\software\microsoft\windows\currentversion\policies\explorer
norun=dword:00000001
hkey_current_user\software\microsoft\windows\currentversion\policies\explorer
nodrives=dword:00000001 |
