| W32/Autorun.ah |
|
| Nombre: | W32/Autorun.ah Alias: Virus.Win32.AutoRun.ah, Win32/AutoRun.AH, WORM_DELF.HXZ, Trj/Autorun.J, W32/Deletemusic, W32/Deletemp3.worm, W32/DelMP3-A |
| Tipo: | Gusano |
| Tamaño: | 380,416 bytes |
| Origen: | Internet |
| Destructivo: | NO |
| En la calle (in the wild): | SI |
| Detección y eliminación: | The Hacker 6.1 y 6.2 al 02/08/2007. |
Descripción:
W32/Autorun.ah, es un gusano que se difunde a través de unidades removibles y carpetas compartidas en la red, elimina archivo con extensión .mp3 que encuentre en el computador infectado.
Cuando el gusano se ejecuta se copia a si mismo con todos sus componentes dentro de:
%windows%\system32\config\csrss.exe
%windows%\media\arena.exe
También crea los siguientes archivos:
%windows%\system32\config\autorun.inf
%windows%\system32\logon.bat
Nota:
- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).
Además crea la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
"Worms"="%windows%\system32\logon.bat"
El gusano cambia las siguientes configuraciones para deshabilitar el "Administrador de Tareas", "Editor de Registro" y "Opciones de Carpeta"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableTaskMgr"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableRegistryTools"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
"NofolderOptions"="1"
Finalmente el gusano intenta copiarse en unidades removibles que encuentre en el computador atacado, utiliza los siguientes archivos
[unidad]:\csrss.exe
[unidad]:\autorun.inf
Derechos reservados 1992/2007 HackSoft S.R.L. Lima-Perú