pe_zori.e-o, w32/hllp.zori.c@m
tipo: virus
tama?o: 917,505 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.9, registro de virus al 06/01/2006.
w32/zori.c, es un virus que infecta archivos ejecutables, este se difunde a trav?s de recursos compartidos en la red y e-mail, utiliza su propio motor smtp para enviarse a todas las direcciones de e-mail que encuentre en archivos con las siguientes extensiones .adb, .asp, .cfg, .cgi, .dbx, .dhtm, .doc, .eml, .htm, .html, .ini, .jsp, .mbx, .mdx, .mht, .mmf, .msg, .nch, .ods, .oft, .php, .pl, .rtf, .sht, .shtm, .stm, .tbb, .txt, .uin, .wab, .wsh, .xls y .xml.
cuando el virus se ejecuta visualiza una imagen de una mujer de rasgos asi?ticos, la cual viste un sweater blanco y una bufanda de color rosado, seguidamente se copia a si mismo dentro de:
windows \temp\ssshost.exe windows \svchost.exe nota:
windows representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt )
adem?s crea una entrada en el registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
microsoft= windows \svchost.exe
tambi?n crea la siguiente entrada en el registro para poder ejecutarse cada vez que se intente ejecutar archivos de extensi?n .exe
hkey_local_machine\software\classes\exefile\shell\open\command
[predeterminado]= windows \svchost.exe 1 *
hkey_classes_root\exefile\shell\open\command
[predeterminado]= windows \svchost.exe 1 *
luego crea una entrada en el registro para establecer su marca de infecci?n:
hkey_local_machine\software\mysoft
intenta eliminar los siguientes valores en el registro:
hkey_local_machine\software\microsoft\windows\currentversion\run\skynet personal firewall
hkey_local_machine\software\microsoft\windows\currentversion\run\iduba personal firewall
hkey_local_machine\software\microsoft\windows\currentversion\run\kavstart
hkey_local_machine\software\microsoft\windows\currentversion\run\kvmonxp
hkey_local_machine\software\microsoft\windows\currentversion\run\popproxy
hkey_local_machine\software\microsoft\windows\currentversion\run\ravmon
hkey_local_machine\software\microsoft\windows\currentversion\run\ravtimer
tambi?n crea las siguientes entradas para ocultar archivos y extensiones de archivos:
hkey_current_user\software\microsoft\windows\currentversion\explorer\advanced
hidefileext=1
hkey_current_user\software\microsoft\windows\currentversion\explorer\advanced
hidden=2
seguidamente intentar? deshabilitar varios procesos relacionados a programas de seguridad:
freekav.exe freepp.exe freesys.exe iamapp.exe iparmor.exe kav32.exe kavpfw.exe kavstart.exe kmailmon.exe kpfwsvc.exe kvcenter.kxp kvfw.exe kvmonxp.kxp kvxp.kxp kwatch.exe nmain.exe pfw.exe rfw.exe trojan_hunter.exe finalmente se difunde a trav?s de recursos compartidos copi?ndose a si mismo en estos, los archivos copiados tienen nombres con caracteres chinos.
|
