Skip to content

Export page to PDF
WORM_IRCBOT.KNG
Alias: W32.IRCBot (Symantec); Backdoor:Win32/Lamin.A (Microsoft); Trojan.Win32.Obfuscated.whl (Kaspersky); Generic.dx (Mcafee); W32/IRCBot-ADJ (Sophos); W32/IrcBot.CKB.worm (Panda)
Tipo de malware: Worm
Destructivo?: No
Plataforma: Windows 2000, Windows XP, Windows Server 2003
Cifrado: No
In the wild:

Resumen y descripción


Utiliza los iconos de archivos de ciertas aplicaciones para evitar su fácil detección y posterior eliminación.

Se conecta a servidores de IRC.

Detalles técnicos


Tamaño del archivo: 704,000 bytes
Tipo de archivo: EXE
Residente en memoria:
Carga útil: Pone en peligro la seguridad del sistema, Conecta con URL/Ip

Instalación

Este malware infiltra los siguientes archivos no maliciosos:

  • %Program Files%\Microsoft Office\OFFICE11\control.ini
  • %Program Files%\Microsoft Office\OFFICE11\Drvics32.dll
  • %Program Files%\Microsoft Office\OFFICE11\hjwgsd.dll
  • %Program Files%\Microsoft Office\OFFICE11\jwiegh.dll
  • %Program Files%\Microsoft Office\OFFICE11\PUB60SP.mrc
  • %Program Files%\Microsoft Office\OFFICE11\remote.ini
  • %Program Files%\Microsoft Office\OFFICE11\ruimsbbe.dll
  • %Program Files%\Microsoft Office\OFFICE11\smss.exe
  • %Program Files%\Microsoft Office\OFFICE11\yofc.dll

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %User Startup%\Adobe Gamma Loader.com
  • %Program Files%\Microsoft Office\OFFICE11\services.exe
  • %Program Files%\Microsoft Office\OFFICE11\ WINWORD.EXE

Utiliza los iconos de archivos de las siguientes aplicaciones:

  • Microsoft Word

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "%Program Files%\Microsoft Office\OFFICE11\services.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\exefile
NeverShowExt =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirstRunDisabled = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
Acha.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
AmyMastura.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
BabyRina.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
cscript.exe
Debugger = "rundll32.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
csrsz.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
lsasc.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
registry.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
SMSSS.exe
Debugger = "cmd.exe /c del"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
wscript.exe
Debugger = "rundll32.exe"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WinDefend

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

Rutina de puerta trasera

Se conecta a alguno de los siguientes servidores de IRC:

  • {BLOCKED}.us.dal.net

Agrega una cadena de IRC que envía automáticamente los mensajes siguientes a todo usuario que acceda al servidor de IRC al que está conectado:

  • Bagaimana para pengusaha bisa sukses. anda bisa mendapatkan trik-trik para pengusaha dalam waktu singkat dengan hanya membaca buku dapatkan segera bukunya di http://bukugeratis.4shared.com
  • Buku elektronik - Tips & Trik cara cepat mendapatkan pasangan hidup ==> http://bukugeratis.4shared.com
  • Buku elektronik geratis cara cepat menguasai Adobe Photoshop CS4 untuk pemula dan mahir. dapatkan segera hanya di http://bukugeratis.4shared.com
  • Buku geratis Mahir & cepat menguasai Microsoft Office 2007 (Word,Excel,PowerPoint,Acces) tebal 423 halaman. segera dapatkan hanya di http://bukugeratis.4shared.com
  • Dapatkan buku Kumpulan trik teknik Hacking jaringan & website. Hacker Book, Cara cepat menguasai komputer di http://bukugeratis.4shared.com
  • Download segera berbagai buku elektronik tips & trik ilmu komputer di >>> http://bukugeratis.4shared.com <<<
  • Download buku 1001 cara usaha mendapatkan keuntungan besar berlipat ganda & trik pengusaha sukses http://bukugeratis.4shared.com
  • Download segera berbagai buku elektronik tips & trik ilmu komputer di >>> http://bukugeratis.4shared.com <<<
  • E-Book 1001 cara Merakit komputer ===> http://bukugeratis.4shared.com geratis download
  • Ilmu cepat menguasai Adobe Photoshop CS2,CS3,dan CS4 >>> http://bukugeratis.4shared.com <<<
  • Jom download segera berbagai kumpulan buku geratis Ilmu Komputer dan Bisnis di >> http://bukugeratis.4shared.com <<
  • Mahu tau cara cepat dan mudah membuat website sendiri? dapatkan segera bukunya di http://bukugeratis.4shared.com 100% geratis
  • Mahu tau tips & trik berbagai posisi bercinta dengan pasangan anda? dapatkan segera Kamasutra Book di http://bukugeratis.4shared.com
  • Mahu tips and trik menarik Adobe Photoshop, dapatkan segera buku elektronik geratis di http://bukugeratis.4shared.com
  • Tips & Trik bagaimana mendapatkan uang di internet ==> http://bukugeratis.4shared.com <==
  • download segera berbagai buku elektronik tips & trik ilmu komputer di >>> http://bukugeratis.4shared.com <<<
  • join here for you newbie fucking gangster, tempatnya mangkal para perampok maling pembajak begundal kampret tai lo!! klo berani join sini
  • jom download segera berbagai kumpulan buku geratis Ilmu Komputer dan Bisnis di >> http://bukugeratis.4shared.com <<

Solución


Motor de exploración mínimo: 8.900
Primer archivo de patrones de VSAPI: 7.499.50
Versión de patrones OPR de VSAPI: 7.501.00

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Identificar y terminar los archivos detectados como WORM_IRCBOT.KNG

[ Learn more ]
  1. Para los usuarios de Windows 98 y ME, puede que el Administrador de tareas de Windows no muestre todos los procesos en ejecución. En tal caso, utilice un visor de procesos de una tercera parte (preferiblemente, el Explorador de procesos) para terminar el archivo de malware/grayware/spyware. Puede descargar la herramienta en cuestión aquí.
  2. Si el archivo detectado aparece en el Administrador de tareas o en el Explorador de procesos, pero no puede eliminarlo, reinicie el equipo en modo seguro. Para ello, consulte este enlace para obtener todos los pasos necesarios.
  3. Si el archivo detectado no se muestra en el Administrador de tareas o el Explorador de procesos, prosiga con los pasos que se indican a continuación.

Step 3

Eliminar este valor del Registro

[ Learn more ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.


  • In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
    • Shell = "%Program Files%\Microsoft Office\OFFICE11\services.exe"
  • In HKEY_CLASSES_ROOT\exefile
    • NeverShowExt =
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UacDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirstRunDisabled = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UpdatesDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UacDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Acha.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AmyMastura.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BabyRina.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cscript.exe
    • Debugger = "rundll32.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\csrsz.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lsasc.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\registry.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SMSSS.exe
    • Debugger = "cmd.exe /c del"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe
    • Debugger = "rundll32.exe"

Step 4

Eliminar esta clave del Registro

[ Learn more ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.


  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • WinDefend

Step 5

Restaurar este valor del Registro modificado

[ Learn more ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.


  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: ShowSuperHidden = "0"
      To: 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • From: AntiVirusDisableNotify = "1"
      To: 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • From: FirewallDisableNotify = "1"
      To: 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • From: UpdatesDisableNotify = "1"
      To: 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • From: AntiVirusOverride = "1"
      To: 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • From: FirewallOverride = "1"
      To: 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
    • From: UncheckedValue = "0"
      To: 1
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
    • From: Start = "4"
      To: 2
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    • From: Start = "4"
      To: 2
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
    • From: Start = "4"
      To: 2

Step 6

Buscar y eliminar este archivo

[ Learn more ]
Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.
  • %Program Files%\Microsoft Office\OFFICE11\control.ini
  • %Program Files%\Microsoft Office\OFFICE11\Drvics32.dll
  • %Program Files%\Microsoft Office\OFFICE11\hjwgsd.dll
  • %Program Files%\Microsoft Office\OFFICE11\jwiegh.dll
  • %Program Files%\Microsoft Office\OFFICE11\PUB60SP.mrc
  • %Program Files%\Microsoft Office\OFFICE11\remote.ini
  • %Program Files%\Microsoft Office\OFFICE11\ruimsbbe.dll
  • %Program Files%\Microsoft Office\OFFICE11\smss.exe
  • %Program Files%\Microsoft Office\OFFICE11\yofc.dll

Step 7

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como WORM_IRCBOT.KNG En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Díganos si le hemos ayudado. Rellene nuestra encuesta rápida.

Redes sociales

Conecte con nosotros en