TROJ_WHAIM.A

Para obtener una visión integral del comportamiento de este Trojan, consulte el diagrama de amenazas que se muestra a continuación.

Puede haberlo infiltrado otro malware.

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

• TROJ_MDROP.WQA

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\{random file name}.dll

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas para permitir su propia ejecución en modo seguro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
{random data}
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
{random data}
(Default) = "Service"

Agrega las siguientes claves para permitir su propia ejecución en modo seguro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
{random data}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
{random data}

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters
ServiceDll = "%System%\{random file name}.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters
ServiceMain = "ServiceMain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
ImagePath = "%SystemRoot%\System32\svchost.exe -k {random value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
DisplayName = "{random value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
Description = "{random description}"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc
number = "{random value in hex}"

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc
year = "{current year in hex}"

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc
month = "{current month in hex}"

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc
day = "{current day in hex}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
{random value} = "{random data}"

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc
finish = "1"