W32/Xema.A

W32/Xema.A

Nombre:	W32/Xema.A Alias: W32.Xema.A, Win-Trojan/Xema.121020
Tipo:	Gusano
Tamaño:	121,020 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1 al 11/07/2007.

Descripción:

W32/Xema.A, es un gusano que se difunde a través de unidades removibles, Infecta archivos con extensión .exe y tiene características de Backdoor.

Cuando el gusano se ejecuta crea los siguientes archivos:

Nota:

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).

También copia los siguientes archivos dentro de:

Además modifica las siguientes entradas en el registro:

HKEY_CLASSES_ROOT\CLSID\{AEB6717E-7E19-11d0-97EE-00C04FD91972}\InProcServer32

"Predeterminado"="%system%\shell64.dll"

HKEY_CURRENT_USERS\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

"ShowSuperHidden"="0"

Seguidamente el gusano busca archivos .exe dentro de todas las unidades removibles y los infecta

Finalmente el gusano establece comunicación con el siguiente sitio e intenta descargar archivos dentro del computador atacado:

http://ms.winibmhelp.com/httpdocs/[Bloqueado]/Cmw[Bloqueado]