WORM_AUTORUN.HXW

Publish date: 21 de abril de 2013

Alias

Worm:Win32/Katar.A, Scanning damaged file () (Microsoft); W32/Autorun.worm.bcb (McAfee); Suspicious.AD (Symantec); Trojan.Win32.Autoit.abl (Kaspersky); Worm.Win32.Katar.a (v) (Sunbelt); Found Luhe.Fiha.A (AVG)

Plataforma:

Windows 2000, Windows XP, Windows Server 2003

Riesgo general:

Potencial de destrucción:

Potencial de distribución:

Infección divulgada:

Bajo

Medio

High

Crítico

Tipo de malware
Worm
Destructivo?
No
Cifrado
In the Wild:
Sí

Resumen y descripción

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones. Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Detalles técnicos

Tamaño del archivo 486,684 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 21 de abril de 2013

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

%System Root%\KHATRA.exe
%System%\KHATRA.exe
%Windows%\Xplorer.exe
%System%\gHost.exe
%Windows%\KHATARNAKH.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Crea las carpetas siguientes:

%Windows%\K.Backup

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System%\KHATRA.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Xplorer = "%Windows%\Xplorer.exe /Windows"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Xplorer = "%Windows%\Xplorer.exe"

Otras modificaciones del sistema

Elimina los archivos siguientes:

%Windows%\Xplorer.exe
%System%\gHost.exe
%System Root%\KHATRA.exe
%Application Data%\Microsoft\CD Burning\AUTORUN.inF
%Application Data%\Microsoft\CD Burning\New Folder(3).exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

HKEY_CURRENT_USER\Software\Nico Mak Computing\
WinZip\caution

HKEY_LOCAL_MACHINE\Software\KHATRA\
Startup_List

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
G_Host = "%System%\gHost.exe /Reproduce"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Internet Exploiter"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Schedule
AtTaskMaxHours = "0"

HKEY_CURRENT_USER\Software\Nico Mak Computing\
WinZip\caution
NoUnsafeTypeCautionForSCR = "1"

HKEY_CURRENT_USER\Software\Nico Mak Computing\
WinZip\caution
NoUnsafeTypeCautionForEXE = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\
Startup_List
Adobe Reader Speed Launcher = "%Program Files%\Adobe\Reader 10.0\Reader\Reader_sl.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\
Startup_List
Adobe ARM = "%Program Files%\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\
Startup_List
restart_run = "%System Root%\cwsandbox_manager\restart_run\run.bat"

HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\
Startup_List
Xplorer = "%Windows%\Xplorer.exe /Windows"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\KHATRA.exe = "%System%\KHATRA.exe:*:Enabled:System"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%System%\KHATRA.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "ff"

(Note: The default value data of the said registry entry is 91.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Adobe ARM = "%System%\KHATRA.exe"

(Note: The default value data of the said registry entry is "%Program Files%\Common Files\Adobe\ARM\1.0\AdobeARM.exe".)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Adobe ARM = "%Windows%\Xplorer.exe"

(Note: The default value data of the said registry entry is "%Program Files%\Common Files\Adobe\ARM\1.0\AdobeARM.exe".)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\ProtectedStorage
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\upnphost
Start = "2"