±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Crea las siguientes copias de s¨ª mismo en el sistema afectado:
- %User Profile%\{random filename}.exe
(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).
)
T¨¦cnica de inicio autom¨¢tico
Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = %User Profile%\{random filename}.exe
Otras modificaciones del sistema
Modifica las siguientes entradas de registro:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0
(Note: The default value data of the said registry entry is 1.)
±Ê°ù´Ç±è²¹²µ²¹³¦¾±¨®²Ô
Este malware infiltra copias de s¨ª mismo en todas las unidades extra¨ªbles.
Infiltra un archivo AUTORUN.INF para que ejecute autom¨¢ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.
Rutina de puerta trasera
Este malware abre el/los siguiente(s) puerto(s) donde realiza escuchas sobre comandos remotos:
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 2
Explorar el equipo con su producto de live casino online y anotar los archivos detectados como WORM_VOBFUS.QHI
Step 3
Reiniciar en modo seguro
[ aprenda m¨¢s ]
[ parte posteriora ]
Para reiniciar en modo seguro:
• Para usuarios de Windows 98 y ME
- Reinicie el equipo.
- Pulse la tecla CTRL hasta que aparezca el men¨² de inicio.
- Seleccione la opci¨®n Modo seguro y pulse Intro.
• Para usuarios de Windows NT (modo VGA)
- Haga clic en Inicio>Configuraci¨®n>Panel de control.
- Haga doble clic en el icono Sistema.
- Haga clic en la pesta?a Inicio o Apagado.
- Establezca 10 segundos en el campo Mostrar lista y haga clic en Aceptar para guardar el cambio.
- Apague el equipo y rein¨ªcielo.
- Seleccione el modo VGA en el men¨² de inicio.
• Para usuarios de Windows 2000
- Reinicie el equipo.
- Pulse la tecla F8 cuando vea la barra Iniciando Windows en la parte inferior de la pantalla.
- Seleccione la opci¨®n Modo seguro en el men¨² de opciones avanzadas de Windows y pulse Intro.
• Para usuarios de Windows XP
- Reinicie el equipo.
- Pulse la tecla F8 cuando haya finalizado la autoprueba de encendido (POST). Si no aparecen las opciones avanzadas de Windows, intente reiniciar y pulse F8 varias veces despu¨¦s de que aparezca de la pantalla de la autoprueba de encendido (POST).
- Seleccione la opci¨®n Modo seguro en el men¨² de opciones avanzadas de Windows y pulse Intro.
• Para usuarios de Windows Server 2003
- Reinicie el equipo.
- Pulse la tecla F8 cuando se haya iniciado Windows. Si no aparecen las opciones avanzadas de Windows, intente reiniciar y, a continuaci¨®n, pulse F8 varias veces tras el inicio.
- En el men¨² de opciones avanzadas de Windows, utilice las teclas de flecha para seleccionar la opci¨®n Modo seguro y pulse Intro.
Step 4
Eliminar este valor del Registro
[ aprenda m¨¢s ]
[ parte posteriora ]
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random filename} = %User Profile%\{random filename}.exe
Para eliminar el valor del Registro que este malware ha creado:
- Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
- En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run - En el panel derecho, busque y elimine la entrada:
{random filename} = %User Profile%\{random filename}.exe - Cierre el Editor del Registro.
Step 5
Restaurar este valor del Registro modificado
[ aprenda m¨¢s ]
[ parte posteriora ]
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: ShowSuperHidden = 0
To: 1
Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:
- Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuaci¨®n, pulse Intro.
- En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced - En el panel derecho, busque este valor del Registro:
ShowSuperHidden = 0 - Haga clic con el bot¨®n derecho en el nombre de valor y elija Modificar. Cambie la informaci¨®n de valor de esta entrada a:
ShowSuperHidden = 1 - Cierre el Editor del Registro.
Step 6
Buscar y eliminar los archivos de AUTORUN.INF creados por WORM_VOBFUS.QHI que contienen las siguientes cadenas
[ aprenda m¨¢s ]
[ parte posteriora ]
{garbage characters}[autorun]
{garbage characters}
open={random filename}.eXE
{garbage characters}
iCon={random filename}.ico
{garbage characters}
USeaUToplaY=1
{garbage characters}
Para identificar y eliminar los archivos de AUTORUN.INF creados:
- Haga clic con el bot¨®n derecho en el bot¨®n Inicio y elija Buscar....
- En el cuadro de entrada Nombre, escriba:
AUTORUN.INF - En la lista desplegable Buscar en:, seleccione una unidad y pulse Intro.
- Seleccione el archivo y ¨¢bralo con el Bloc de notas.
- Compruebe si el archivo contiene las siguientes l¨ªneas:
{garbage characters}[autorun]
{garbage characters}
open={random filename}.eXE
{garbage characters}
iCon={random filename}.ico
{garbage characters}
USeaUToplaY=1
{garbage characters}
- Si estas l¨ªneas existen, elimine el archivo.
- Repita los pasos 3 a 6 con el resto de archivos de AUTORUN.INF en las dem¨¢s unidades extra¨ªbles.
- Cierre Resultado de la b¨²squeda.
Step 7
Buscar y eliminar este archivo
[ aprenda m¨¢s ]
[ parte posteriora ]
Puede que algunos de los archivos del componente est¨¦n ocultos. Aseg¨²rese de que tiene activada la casilla
Buscar archivos y carpetas ocultos en la opci¨®n M¨¢s opciones avanzadas para que el resultado de la b¨²squeda incluya todos los archivos y carpetas ocultos.
Documents.lnk
Music.lnk
New Folder.lnk
Passwords.lnk
Pictures.lnk
Video.lnk
{random filename}.ico
x.mpeg
Para eliminar el archivo de malware/grayware/spyware:
- Haga clic con el bot¨®n derecho en Inicio y haga clic en Buscar....
- En el cuadro de entrada Nombre, escriba:
Documents.lnk
Music.lnk
New Folder.lnk
Passwords.lnk
Pictures.lnk
Video.lnk
{random filename}.ico
x.mpeg
- En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
- Una vez haya encontrado el archivo, selecci¨®nelo y, a continuaci¨®n, pulse MAY?S+SUPR para eliminarlo definitivamente.
Step 8
Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como WORM_VOBFUS.QHI En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
