AutoRun.E.

Se propaga va unidades extrables

http://www.vsantivirus.com/autorun-e.htm
Nombre: AutoRun.E
Nombre NOD32: Win32/AutoRun.E
Tipo: Virus y caballo de Troya
Alias: AutoRun.E, Adware/SearchExe, Mal/VBWorm-C, TR/Agent.358ee5, Trojan.Adclicker,
Trojan.Agent.358ee5, Trojan.Autorun-3, Virus.Win32.AutoRun, Virus.Win32.AutoRun.br,
Win32.HLLW.Autoruner.167, Win32/AutoRun.E, Worm/Generic.BYJ
Fecha: 21/jun/07
Plataforma: Windows 32-bit
Tamao: 15,872 bytes (UPX)
Gusano que se carga al inicio del sistema, y puede ejecutarse cada vez que se accede a una unidad de disco
o se inserta una unidad extrable (por ejemplo, memoria USB).
Cuando se ejecuta puede crear los siguientes archivos:
c:\windows\system32\logon.bat
c:\windows\system32\config\autorun.inf
c:\windows\system32\config\[nombre].exe
Tambin crea el siguiente archivo:
?:\autorun.inf
Donde "?:" es una letra de unidad de disco, de la "E:" en adelante.
El archivo "logon.bat", y los archivos "autorun.inf" creados, tienes las instrucciones para ejecutar a
"[nombre].exe".
El virus crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
Worms = "c:\windows\system32\logon.bat"
Las siguientes entradas tambin son creadas o modificadas, algunas de ellas para desactivar algunas
herramientas de Windows como el Editor del Registro y el Administrador de Tareas de Windows, otras
como para eliminar la entrada Opciones de carpetas del men de herramientas del Explorador de Windows
y del Panel de Control, y para esconder los archivos con atributos de sistema y sus extensiones, todo ello
con la intencin de dificultar su deteccin:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer
SearchHidden = "0"
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer
SearchSystemDirs = "0"
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\Advanced
Hidden = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Explorer\Advanced
HideFileExt = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion

\Explorer\Advanced
ShowSuperHidden = "0"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Explorer\Advanced
SuperHidden = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoFolderOptions = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoDriveTypeAutoRun = "0"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableRegedit = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableRegistryTools = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableTaskMgr = "1"
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
Start = "1"
Reparacin manual
NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse
cambios en el sistema no contemplados en esta descripcin genrica.

Sobre el componente troyano

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cul detendr
y advertir la conexin de este y cualquier otro troyano con Internet, as como cualquier intento de acceder
a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), adems de ser un excelente cortafuegos, tambin impide la
ejecucin de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo
con cada nueva versin de un virus).
Ms informacin:
Cmo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm

Antivirus
1. Actualice su antivirus. En el caso de ESET NOD32, seleccione el Control Center, Mdulos de
actualizacin, NOD32 Update y haga clic en el botn "Actualizar ahora". Compruebe que la versin de
firmas de virus sea la misma que aparece en http://www.nod32.com.uy o en
http://www.vsantivirus.com/nod32.htm
2. Reinicie Windows en modo a prueba de fallos, como se indica en este artculo:
Cmo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
3. Borre los archivos temporales como se indica en el siguiente enlace:
Cmo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm
4. Seleccione la opcin "Analizar y Desinfectar automticamente" en su antivirus. En el caso de ESET
NOD32, seleccione Control Center, NOD32 Scanner, haga clic en el botn "NOD32 Scanner", seleccione
la casilla "Local", y haga clic en el botn "Analizar y desinfectar".
5. En el caso de NOD32, haga clic en el botn "Desinfectar" cuando aparezca, o en el botn "Eliminar"
cuando el botn "Desinfectar" no est activo. En cualquier otro caso, el antivirus le dar el mensaje "sin
acciones" y la limpieza se efectuar al reiniciar.
6. Tome nota del nombre de los archivos desinfectados o eliminados.
7. Reinicie la computadora.
8. Vuelva a ejecutar la opcin "Analizar y Desinfectar automticamente".

Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 6 del tem
"Antivirus".
Haga clic con el botn derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione
"Vaciar la papelera de reciclaje".

Herramienta de reparacin del registro:

IMPORTANTE: Debe descargar y ejecutar esta herramienta antes de proceder a editar el registro.
1. Descargue el siguiente archivo:
http://www.videosoft.net.uy/reparar-registro.vbs
2. Seleccione "Abrir" y luego "Ejecutar".
NOTA VSA: Algunos antivirus pueden detectar un virus en este archivo, sin embargo, si descarga el mismo
del enlace ofrecido arriba, el archivo est limpio, y solo se trata de un falso positivo.

Editar el registro

Nota: algunas de las ramas en el registro aqu mencionadas, pueden no estar presentes ya que ello depende
de que versin de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
3. Haga clic en la carpeta "Explorer" y busque y borre la siguiente entrada:
SearchHidden = "0"
4. Cambie el valor de la siguiente entrada para que quede con el valor "1":
SearchSystemDirs = "1"
5. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced
6. Haga clic en la carpeta "Advanced" y busque y borre la siguiente entrada:
Hidden = "1"
7. Cambie el valor de la siguiente entrada para que quede con el valor "0":
HideFileExt = "0"
8. Cambie el valor de la siguiente entrada para que quede con el valor "1":
ShowSuperHidden = "1"
9. Borre la siguiente entrada:
SuperHidden = "1"
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
11. Haga clic en la carpeta "Explorer" y cambie el valor de la siguiente entrada para que quede con el valor
"91" en hexadecimal:
NoDriveTypeAutoRun = "91"
12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE

\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon
13. Haga clic en la carpeta "Winlogon", busque la entrada "Userinit" y deje solo lo siguiente:
Userinit = "c:\windows\system32\userinit.exe,"
14. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunOnce
15. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Datos", busque y borre
toda entrada que haga referencia a los archivos detectados en el punto 6 del tem "Antivirus".
16. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
17. Haga clic en la carpeta "SharedAccess", y busque y cambie el valor de la siguiente entrada para que
quede con el valor "2":
Start = "2"
18. Cierre el editor del registro.
19. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir tambin los signos "%" antes y despus de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el men
"Edicin", la opcin "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. Haga clic con el botn derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione
"Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de
fallos, como se indica en el siguiente artculo, y repita todos los pasos anteriores:

Cmo iniciar su computadora en Modo a prueba de fallos.

http://www.vsantivirus.com/faq-modo-fallo.htm

Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"
3. Marque la opcin "Eliminar todo el contenido sin conexin"
4. Haga clic en Aceptar, etc.

Informacin adicional
Cambio de contraseas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a
fin de cambiar todas las claves de acceso, as como toda otra informacin que comprometa la informacin
relacionada con cualquier clase de transaccin bancaria, incluidas sus tarjetas electrnicas y cuentas
bancarias.

Activar el cortafuegos de Windows XP (Internet Conexin Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de
Red).
2. Haga clic con el botn derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en
"Conexin de Red de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengeta "Avanzadas" tilde la opcin "Proteger mi equipo y mi red limitando o impidiendo el
acceso a l desde Internet" en todos los casos.
4. Seleccione Aceptar, etc.

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y adems visualizar aquellos con atributos de
"Oculto", proceda as:
1. Ejecute el Explorador de Windows
2. Seleccione el men 'Ver' (Windows 95/98/NT) o el men 'Herramientas' (Windows Me/2000/XP), y haga
clic en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengeta 'Ver'.

4. DESMARQUE la opcin "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opcin "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y
carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Haga clic en 'Aplicar' y en 'Aceptar'.