El laboratorio de virus de Avira

Worm/Katar.A.11

  • Nombre
    Worm/Katar.A.11
  • Descubierto
    7/2/2016
  • Tipo
    Malware
  • Impact
    Alto 
  • Infecciones registradas
    Bajo 
  • Sistema operativo
    Windows
  • Versión VDF
    7.11.78.190 (2013-05-15 15:24)

El término 'WORM' hace referencia a un gusano que es capaz de, por ejemplo, propagarse por Internet (enviando correos, usando redes P2P, redes IRC, etc.) por sí mismo.

Los usuarios con malas intenciones o los programas maliciosos pueden utilizar el archivo para disminuir el nivel de seguridad.

Este programa malicioso puede robar información confidencial.

Sistema operativo: Microsoft Windows.

  • VDF
    7.11.78.190 (2013-05-15 15:24)
  • Alias
    Avast: Win32:AutoRun-CLF
    AVG: Luhe.Fiha.A
    ClamAV: Trojan.Peed-474
    Dr. Web: Trojan.MulDrop3.2966
    F-PROT: W32/Autorun.TX (exact, damaged)
    McAfee: W32/Autorun.worm.bcb
    Trend Micro: TROJ_SPNR.03J013
    Microsoft: Trojan:Win32/Bulta!rfn
    G Data: Worm.Generic.355075
    Kaspersky Lab: Worm.Win32.AutoIt.aei
    Bitdefender: Worm.Generic.355075
    ESET: Win32/AutoRun.Autoit.BJ worm
  • Archivos
    Archivos que elimina:
    • %DISKDRIVE%\KHATRA.exe
    • %SYSDIR%\KHATRA.exe
    • %WINDIR%\Xplorer.exe
    • %WINDIR%\system\gHost.exe
    • %WINDIR%\KHATARNAKH.exe
    • %TEMPDIR%\aut1.tmp
    • %TEMPDIR%\aut2.tmp
    • %TEMPDIR%\bikini02.scr
    • %TEMPDIR%\%USERNAME%.scr
    • %TEMPDIR%\Nature.scr
    • %TEMPDIR%\fhset267.exe
    • %TEMPDIR%\dmario.exe
    • %TEMPDIR%\kavSetup.exe
    • %TEMPDIR%\download.exe
    • %TEMPDIR%\Hacker.exe
    • %TEMPDIR%\clean.exe
    • %TEMPDIR%\slideshow.exe
    Copias de sí mismo que crea:
    • %DISKDRIVE%\KHATRA.exe
    • %SYSDIR%\KHATRA.exe
    • %WINDIR%\Xplorer.exe
    • %WINDIR%\system\gHost.exe
    • %WINDIR%\KHATARNAKH.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\KHATRA.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\%USERNAME%.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\New Folder(3).exe
    • %USERPROFILE%\My Documents\My Music\My Music.exe
    • %USERPROFILE%\My Documents\My Music.exe
    • %USERPROFILE%\My Documents\My Pictures\My Pictures.exe
    • %USERPROFILE%\My Documents\My Pictures.exe
    • %TEMPDIR%\bikini02.scr
    • %TEMPDIR%\%USERNAME%.scr
    • %TEMPDIR%\Nature.scr
    • %TEMPDIR%\fhset267.exe
    • %TEMPDIR%\dmario.exe
    • %TEMPDIR%\kavSetup.exe
    • %TEMPDIR%\download.exe
    • %TEMPDIR%\Hacker.exe
    • %TEMPDIR%\clean.exe
    • %TEMPDIR%\slideshow.exe
    Archivos que crea:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\(Empty).LNK
    • %WINDIR%\inf\Autoplay.inF
    • %WINDIR%\Tasks\At1.job
    • %WINDIR%\Tasks\At2.job
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\AUTORUN.inF
    • %TEMPDIR%\aut1.tmp
    • %TEMPDIR%\aut2.tmp
    Archivos que cambia:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\(Empty).LNK
    • %WINDIR%\inf\Autoplay.inF
    • %SYSDIR%\wbem\Logs\wbemess.log
    • %WINDIR%\Prefetch\REGSVR32.EXE-25EEFE2F.pf
    • %SYSDIR%\wbem\Logs\wbemcore.log
    • %WINDIR%\Prefetch\IMAPI.EXE-0BF740A4.pf
    • %SYSDIR%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb
    • %WINDIR%\Prefetch\WMIADAP.EXE-2DF425B2.pf
    • %SYSDIR%\CatRoot2\edb.chk
    Archivos a los que cambia el nombre:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\desktop.ini
    • %USERPROFILE%\Start Menu\Programs\Startup\desktop.ini
    • %USERPROFILE%\Start Menu\Programs\Startup\rpcapd.lnk
    • %TEMPDIR%\kma49549.tmp
    • %TEMPDIR%\kma30541.tmp
    • %TEMPDIR%\kma31189.tmp
    • %TEMPDIR%\kma41155.tmp
    • %TEMPDIR%\kma24660.tmp
    • %TEMPDIR%\kma49309.tmp
    • %TEMPDIR%\kma35098.tmp
    • %TEMPDIR%\kma53906.tmp
    • %TEMPDIR%\kma39924.tmp
    • %TEMPDIR%\kma16403.tmp
  • Registro
    Añade las siguientes entradas al registro:
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ("Taskman": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ("Xplorer": ""%WINDIR%\Xplorer.exe" /Windows"; "VMware User Process": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run ("G_Host": ""%WINDIR%\System\gHost.exe" /Reproduce")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows ("Load": "%SYSDIR%\KHATRA.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System ("DisableRegistryTools": dword:00000001)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ("NoControlPanel": dword:00000001; "NoDriveTypeAutoRun": dword:000000ff)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ("CheckedValue": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main ("Window Title": "Internet Exploiter")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("AtTaskMaxHours": dword:00000000)
    • HKEY_CURRENT_USER\Software\Nico Mak Computing\WinZip\caution ("NoUnsafeTypeCautionForSCR": "1"; "NoUnsafeTypeCautionForEXE": "1")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ("Taskman": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run ("G_Host": ""%WINDIR%\System\gHost.exe" /Reproduce")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows ("Load": "%SYSDIR%\KHATRA.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System ("DisableRegistryTools": dword:00000001)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ("NoControlPanel": dword:00000001; "NoDriveTypeAutoRun": dword:000000ff)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ("CheckedValue": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main ("Window Title": "Internet Exploiter")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("AtTaskMaxHours": dword:00000000)
    • HKEY_CURRENT_USER\Software\Nico Mak Computing\WinZip\caution ("NoUnsafeTypeCautionForSCR": "1"; "NoUnsafeTypeCautionForEXE": "1")
    • HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\Startup_List ("FileZilla Server Interface": ""%PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe""; "VMware Tools": ""%PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe""; "VMware User Process": ""%PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe" -n vmusr"; "Adobe Reader Speed Launcher": ""%PROGRAM FILES%\Adobe\Reader 9.0\Reader\Reader_sl.exe""; "Adobe ARM": ""%PROGRAM FILES%\Common Files\Adobe\ARM\1.0\AdobeARM.exe""; "SunJavaUpdateSched": ""%PROGRAM FILES%\Common Files\Java\Java Update\jusched.exe""; "Xplorer": ""%WINDIR%\Xplorer.exe" /Windows")
    • HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\Startup_List ("FileZilla Server Interface": ""%PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe""; "VMware Tools": ""%PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe""; "VMware User Process": ""%PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe" -n vmusr"; "Adobe Reader Speed Launcher": ""%PROGRAM FILES%\Adobe\Reader 9.0\Reader\Reader_sl.exe""; "Adobe ARM": ""%PROGRAM FILES%\Common Files\Adobe\ARM\1.0\AdobeARM.exe""; "SunJavaUpdateSched": ""%PROGRAM FILES%\Common Files\Java\Java Update\jusched.exe""; "Xplorer": ""%WINDIR%\Xplorer.exe" /Windows")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ServiceCurrent (@: dword:0000000f)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_IMAPISERVICE\0000\Control ("ActiveService": "ImapiService")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch ("Epoch": dword:0000001e)
    Modifica las siguientes entradas del registro:
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ("Hidden": dword:00000000)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ("Xplorer": ""%WINDIR%\Xplorer.exe" /Windows"; "VMware User Process": "%SYSDIR%\KHATRA.exe"; "VMware Tools": "%WINDIR%\Xplorer.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ("Hidden": dword:00000000)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher ("TracesProcessed": dword:00000027; "TracesSuccessful": dword:0000000e; "LastTraceFailure": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("NextAtJobId": dword:00000003)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc ("Start": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ProtectedStorage ("Start": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\upnphost ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mnmsrvc ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RDSessMgr ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NtmsSvc ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TermService ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TlntSvr ("Start": dword:00000002)

Ayude a convertir la web en un lugar más seguro enviándonos archivos sospechosos o URL sospechosas para que los analicemos.

Enviar un archivo o una URL O Ir a Avira Answers

¿Por qué enviar un archivo sospechoso?

Si ha encontrado un archivo o un sitio web sospechoso que no está en nuestra base de datos, lo analizaremos y determinaremos si es dañino. Nuestros resultados se envían a continuación a millones de usuarios con la siguiente actualización de la base de datos de virus. Si tiene Avira, también recibirá esa actualización. ¿No tiene Avira? Obténgalo en nuestra página de inicio.

¿Qué es Avira Answers?

Es nuestra comunidad, activa y próspera, formada por profesionales técnicos y expertos independientes que trabajan juntos para resolver problemas técnicos. Es el lugar perfecto para plantear su pregunta a una comunidad de usuarios en su misma situación.