WORM_QAKBOT.SS
Backdoor:Win32/Qakbot.gen!B (Microsoft); Trojan.Win32.Menti.clj (Kaspersky); W32/Pinkslipbot.gen.af (NAI); Win32/Qbot.AN trojan (NOD32)
Windows 2000, Windows XP, Windows Server 2003
Tipo de malware
Worm
Destructivo?
No
Cifrado
³§¨ª
In the Wild:
³§¨ª
Resumen y descripci¨®n
Llega tras conectar las unidades extra¨ªbles afectadas a un sistema. Llega tras acceder a redes compartidas afectadas.
Este malware infiltra copias de s¨ª mismo en las unidades de red.
Detalles t¨¦cnicos
Detalles de entrada
Llega tras conectar las unidades extra¨ªbles afectadas a un sistema.
Llega tras acceder a redes compartidas afectadas.
±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Crea las siguientes copias de s¨ª mismo en el sistema afectado:
- %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)Infiltra los archivos siguientes:
- %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename1}.dll
- %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename2}.dll
- %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.dll
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)Crea las carpetas siguientes:
- %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}
(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).
)T¨¦cnica de inicio autom¨¢tico
Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe"
Modifique las siguientes entradas de registro para garantizar su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe" /c {path and file name of legitimate application}"
(Note: The default value data of the said registry entry is {path and file name of legitimate application}.)
±Ê°ù´Ç±è²¹²µ²¹³¦¾±¨®²Ô
Este malware infiltra copias de s¨ª mismo en las unidades de red.
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 2
Identificar y eliminar los archivos detectados como WORM_QAKBOT.SS mediante el disco de inicio o la Consola de recuperaci¨®n
Step 3
Eliminar la entrada del Registro con un valor de informaci¨®n desconocido LearnHow
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe"
- {random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe"
Para eliminar la entrada del Registro que este malware ha creado:
- Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
- En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run&&{random characters} = "%System Root%\\Documents and Settings\\All Users\\Application Data\\Microsoft\\{random folder name}\\{random file name}.exe" - En el panel derecho, busque y elimine la entrada o entradas cuyo valor de informaci¨®n sea la ruta de acceso del malware y el nombre de archivo de los archivos detectados anteriormente.
- Cierre el Editor del Registro.
Step 4
Restaurar este valor del Registro modificado
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- From: {legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"
To: {legitimate application} = {path and file name of legitimate application}
- From: {legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"
Step 5
Buscar y eliminar estas carpetas
Step 6
Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como WORM_QAKBOT.SS En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
Rellene nuestra encuesta!