¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:Worm/Palevo.nfn
Descubierto:28/12/2009
Tipo:Gusano
En circulacin (ITW):S
Nmero de infecciones comunicadas:Bajo
Potencial de propagacin:Bajo
Potencial daino:Medio
Fichero esttico:S
Tamao:138.752 Bytes
Suma de control MD5:c815412b85179aeec5a62d6b7ad19e60
Versin del IVDF:7.10.02.77 - lunes 28 de diciembre de 2009

 General Alias:
   •  Mcafee: W32/Palevo
   •  Panda: W32/Slenfbot.AE
   •  Eset: Win32/AutoRun.IRCBot.DZ
   •  Bitdefender: Trojan.Generic.IS.420679


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Descarga un fichero daino
   • Suelta ficheros dainos
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

 Ficheros Se copia a s mismo en la siguiente ubicacin:
   • %SYSDIR%\wmisfrh.exe




Intenta descargar un fichero:

La direccin es la siguiente:
   • http://1.img-myspace.info/net/**********

 Registro Aade uno de los siguientes valores en el registro, para ejecutar los procesos al reiniciar el sistema:

  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "ctfmon.exe"="ctfmon.exe"



Crea las siguientes entradas para evitar el cortafuego de Windows XP:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%SYSDIR%\wmisfrh.exe"="%SYSDIR%\wmisfrh.exe:*:Enabled:UPnP Firewall"

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\DomainProfile\AuthorizedApplications\List]
   • "%SYSDIR%\wmisfrh.exe"="%SYSDIR%\wmisfrh.exe:*:Enabled:UPnP Firewall"



Aade las siguientes claves al registro:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\ctfmon.exe]
   • "Debugger"="wmisfrh.exe"

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\
   Layers]
   • "%SYSDIR%\wmisfrh.exe"=""



Modifica las siguientes claves del registro:

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal]
   Nuevo valor:
   • "ctfmon.exe"="ctfmon.exe"

[HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network]
   Nuevo valor:
   • "ctfmon.exe"="ctfmon.exe"

 IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: tealc.dw**********.info
Puerto: 35920
Contrasea del servidor: su1c1d3
Canal: #net
Apodo: USA|V3H|0|XP|%nmero%

 Inyectar el cdigo viral en otros procesos – Se inyecta a s mismo como hilo de ejecucin remoto en un proceso.

    Nombre del proceso:
   • explorer.exe


 Datos del fichero Programa de compresin de ejecutables:
Para agravar la deteccin y reducir el tamao del fichero, emplea un programa de compresin de ejecutables.

Descripción insertada por Petre Galan el miércoles 17 de marzo de 2010
Descripción actualizada por Petre Galan el miércoles 17 de marzo de 2010

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.