Llega tras conectar las unidades extra¨ªbles afectadas a un sistema.
Infiltra un archivo AUTORUN.INF para que ejecute autom¨¢ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.
Detalles de entrada
Llega tras conectar las unidades extra¨ªbles afectadas a un sistema.
±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Crea las siguientes copias de s¨ª mismo en el sistema afectado:
- %System Root%\RECYCLER\{SID}\nissan.exe
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)
Infiltra los archivos siguientes:
- %System Root%\RECYCLER\{SID}\Desktop.ini
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)
Crea las carpetas siguientes:
- %System Root%\RECYCLER\{SID}
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)
T¨¦cnica de inicio autom¨¢tico
Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System Root%\RECYCLER\{SID}\nissan.exe"
±Ê°ù´Ç±è²¹²µ²¹³¦¾±¨®²Ô
Crea las carpetas siguientes en todas las unidades extra¨ªbles:
Este malware infiltra la(s) siguiente(s) copia(s) de s¨ª mismo en todas las unidades extra¨ªbles:
Infiltra un archivo AUTORUN.INF para que ejecute autom¨¢ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 2
Identificar y eliminar los archivos detectados como WORM_PALEVO.SS mediante el disco de inicio o la Consola de recuperaci¨®n
[ aprenda m¨¢s ]
[ parte posteriora ]
Para identificar y eliminar el archivo de malware/grayware/spyware:
- Introduzca el CD de instalaci¨®n de Windows en la unidad de CD-ROM.
- Pulse el bot¨®n de reinicio del equipo.
- Cuando se lo solicite el sistema, pulse cualquier tecla para arrancar desde la unidad de CD.
- Asimismo, el sistema le pedir¨¢ que escriba la letra r en el men¨² principal para entrar en la Consola de recuperaci¨®n.
(Nota: en Windows 2000, cuando pulse r, escriba la letra c para seleccionar la Consola de recuperaci¨®n en la pantalla de opciones de reparaci¨®n). - Cuando se lo pida el sistema, escriba la contrase?a del administrador para iniciar sesi¨®n.
- Una vez registrado, escriba la unidad que contiene Windows en el s¨ªmbolo del sistema que aparece y pulse Intro.
- Escriba la unidad que contiene Windows y pulse Intro.
- Escriba lo siguiente y pulse Intro:
del {ruta y nombre del archivo de malware/grayware/spyware} - Repita el procedimiento anterior con todos los archivos que se han detectado anteriormente.
- Escriba exit para reiniciar el sistema con normalidad.
Step 3
Eliminar este valor del Registro
[ aprenda m¨¢s ]
[ parte posteriora ]
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
?
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- Taskman = "%System Root%\RECYCLER\{SID}\nissan.exe"
Para eliminar el valor del Registro que este malware ha creado:
- Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
- En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon - En el panel derecho, busque y elimine la entrada:
Taskman = "%System Root%\RECYCLER\{SID}\nissan.exe" - Cierre el Editor del Registro.
Step 4
Buscar y eliminar estas carpetas
[ aprenda m¨¢s ]
[ parte posteriora ]
Aseg¨²rese de que tiene activada la casilla
Buscar archivos y carpetas ocultos en la opci¨®n M¨¢s opciones avanzadas para que el resultado de la b¨²squeda incluya todas las carpetas ocultas.
- %System Root%\RECYCLER\{SID}
- {drive letter}\LANCE
Para eliminar las carpetas de malware/grayware/spyware:
- Haga clic con el bot¨®n derecho en Inicio y haga clic en Buscar....
- En el cuadro de entrada Nombre, escriba:
- %System Root%\RECYCLER\{SID}
- {drive letter}\LANCE
- En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
- Una vez haya encontrado la carpeta, selecci¨®nela y, a continuaci¨®n, pulse MAY?S+SUPR para eliminarla definitivamente.
- Repita los pasos 2 a 4 con el resto de carpetas:
- %System Root%\RECYCLER\{SID}
- {drive letter}\LANCE
Step 5
Buscar y eliminar los archivos de AUTORUN.INF creados por WORM_PALEVO.SS que contienen las siguientes cadenas
[ aprenda m¨¢s ]
[ parte posteriora ]
;{garbage}
[autorun
;{garbage}
open=LANCE/srasli.exe
;{garbage}
icon=%SystemRoot%\system32\SHELL32.dll,4
;{garbage}
action=Open folder to view all files using Windows Explorer
;{garbage}
shell\open\command=LANCE/srasli.exe
;{garbage}
shell\explore\command=LANCE/srasli.exe
;{garbage}
useautoplay=1
;{garbage}
Para identificar y eliminar los archivos de AUTORUN.INF creados:
- Haga clic con el bot¨®n derecho en el bot¨®n Inicio y elija Buscar....
- En el cuadro de entrada Nombre, escriba:
AUTORUN.INF - En la lista desplegable Buscar en:, seleccione una unidad y pulse Intro.
- Seleccione el archivo y ¨¢bralo con el Bloc de notas.
- Compruebe si el archivo contiene las siguientes l¨ªneas:
;{garbage}
[autorun
;{garbage}
open=LANCE/srasli.exe
;{garbage}
icon=%SystemRoot%\system32\SHELL32.dll,4
;{garbage}
action=Open folder to view all files using Windows Explorer
;{garbage}
shell\open\command=LANCE/srasli.exe
;{garbage}
shell\explore\command=LANCE/srasli.exe
;{garbage}
useautoplay=1
;{garbage}
- Si estas l¨ªneas existen, elimine el archivo.
- Repita los pasos 3 a 6 con el resto de archivos de AUTORUN.INF en las dem¨¢s unidades extra¨ªbles.
- Cierre Resultado de la b¨²squeda.
Step 6
Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como WORM_PALEVO.SS En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
