Laboratório de vírus Avira

Worm/Katar.A.11

  • Nome
    Worm/Katar.A.11
  • Data em que surgiu
    07/02/2016
  • Tipo
    Malware
  • Impacto
    Alto 
  • Infecções relatadas
    Baixo 
  • Sistema operacional
    Windows
  • Versão do VDF
    7.11.78.190 (2013-05-15 15:24)

O termo 'WORM' refere-se a um worm que pode se difundido, por exemplo, pela Internet (usando e-mails, redes ponto a ponto, redes IRC etc.).

O arquivo pode ser usado por usuários desonestos ou malware para diminuir as configurações de segurança.

Esta parte do malware é capaz de roubar informação confidencial.

Sistema operacional: Microsoft Windows.

  • VDF
    7.11.78.190 (2013-05-15 15:24)
  • Alias
    Avast: Win32:AutoRun-CLF
    AVG: Luhe.Fiha.A
    ClamAV: Trojan.Peed-474
    Dr. Web: Trojan.MulDrop3.2966
    F-PROT: W32/Autorun.TX (exact, damaged)
    McAfee: W32/Autorun.worm.bcb
    Trend Micro: TROJ_SPNR.03J013
    Microsoft: Trojan:Win32/Bulta!rfn
    G Data: Worm.Generic.355075
    Kaspersky Lab: Worm.Win32.AutoIt.aei
    Bitdefender: Worm.Generic.355075
    ESET: Win32/AutoRun.Autoit.BJ worm
  • Arquivos
    Os seguintes arquivos foram excluídos:
    • %DISKDRIVE%\KHATRA.exe
    • %SYSDIR%\KHATRA.exe
    • %WINDIR%\Xplorer.exe
    • %WINDIR%\system\gHost.exe
    • %WINDIR%\KHATARNAKH.exe
    • %TEMPDIR%\aut1.tmp
    • %TEMPDIR%\aut2.tmp
    • %TEMPDIR%\bikini02.scr
    • %TEMPDIR%\%USERNAME%.scr
    • %TEMPDIR%\Nature.scr
    • %TEMPDIR%\fhset267.exe
    • %TEMPDIR%\dmario.exe
    • %TEMPDIR%\kavSetup.exe
    • %TEMPDIR%\download.exe
    • %TEMPDIR%\Hacker.exe
    • %TEMPDIR%\clean.exe
    • %TEMPDIR%\slideshow.exe
    As seguintes cópias foram criadas:
    • %DISKDRIVE%\KHATRA.exe
    • %SYSDIR%\KHATRA.exe
    • %WINDIR%\Xplorer.exe
    • %WINDIR%\system\gHost.exe
    • %WINDIR%\KHATARNAKH.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\KHATRA.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\%USERNAME%.exe
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\New Folder(3).exe
    • %USERPROFILE%\My Documents\My Music\My Music.exe
    • %USERPROFILE%\My Documents\My Music.exe
    • %USERPROFILE%\My Documents\My Pictures\My Pictures.exe
    • %USERPROFILE%\My Documents\My Pictures.exe
    • %TEMPDIR%\bikini02.scr
    • %TEMPDIR%\%USERNAME%.scr
    • %TEMPDIR%\Nature.scr
    • %TEMPDIR%\fhset267.exe
    • %TEMPDIR%\dmario.exe
    • %TEMPDIR%\kavSetup.exe
    • %TEMPDIR%\download.exe
    • %TEMPDIR%\Hacker.exe
    • %TEMPDIR%\clean.exe
    • %TEMPDIR%\slideshow.exe
    Os seguintes arquivos foram criados:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\(Empty).LNK
    • %WINDIR%\inf\Autoplay.inF
    • %WINDIR%\Tasks\At1.job
    • %WINDIR%\Tasks\At2.job
    • %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning\AUTORUN.inF
    • %TEMPDIR%\aut1.tmp
    • %TEMPDIR%\aut2.tmp
    Os seguintes arquivos foram alterados:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\(Empty).LNK
    • %WINDIR%\inf\Autoplay.inF
    • %SYSDIR%\wbem\Logs\wbemess.log
    • %WINDIR%\Prefetch\REGSVR32.EXE-25EEFE2F.pf
    • %SYSDIR%\wbem\Logs\wbemcore.log
    • %WINDIR%\Prefetch\IMAPI.EXE-0BF740A4.pf
    • %SYSDIR%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb
    • %WINDIR%\Prefetch\WMIADAP.EXE-2DF425B2.pf
    • %SYSDIR%\CatRoot2\edb.chk
    Os seguintes arquivos foram renomeados:
    • %DISKDRIVE%\Documents and Settings\All Users\Start Menu\Programs\Startup\desktop.ini
    • %USERPROFILE%\Start Menu\Programs\Startup\desktop.ini
    • %USERPROFILE%\Start Menu\Programs\Startup\rpcapd.lnk
    • %TEMPDIR%\kma49549.tmp
    • %TEMPDIR%\kma30541.tmp
    • %TEMPDIR%\kma31189.tmp
    • %TEMPDIR%\kma41155.tmp
    • %TEMPDIR%\kma24660.tmp
    • %TEMPDIR%\kma49309.tmp
    • %TEMPDIR%\kma35098.tmp
    • %TEMPDIR%\kma53906.tmp
    • %TEMPDIR%\kma39924.tmp
    • %TEMPDIR%\kma16403.tmp
  • Registro
    São adicionadas as seguintes entidades de registro:
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ("Taskman": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ("Xplorer": ""%WINDIR%\Xplorer.exe" /Windows"; "VMware User Process": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run ("G_Host": ""%WINDIR%\System\gHost.exe" /Reproduce")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows ("Load": "%SYSDIR%\KHATRA.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System ("DisableRegistryTools": dword:00000001)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ("NoControlPanel": dword:00000001; "NoDriveTypeAutoRun": dword:000000ff)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ("CheckedValue": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main ("Window Title": "Internet Exploiter")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("AtTaskMaxHours": dword:00000000)
    • HKEY_CURRENT_USER\Software\Nico Mak Computing\WinZip\caution ("NoUnsafeTypeCautionForSCR": "1"; "NoUnsafeTypeCautionForEXE": "1")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ("Taskman": "%SYSDIR%\KHATRA.exe")
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run ("G_Host": ""%WINDIR%\System\gHost.exe" /Reproduce")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows ("Load": "%SYSDIR%\KHATRA.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System ("DisableRegistryTools": dword:00000001)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ("NoControlPanel": dword:00000001; "NoDriveTypeAutoRun": dword:000000ff)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ("CheckedValue": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main ("Window Title": "Internet Exploiter")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("AtTaskMaxHours": dword:00000000)
    • HKEY_CURRENT_USER\Software\Nico Mak Computing\WinZip\caution ("NoUnsafeTypeCautionForSCR": "1"; "NoUnsafeTypeCautionForEXE": "1")
    • HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\Startup_List ("FileZilla Server Interface": ""%PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe""; "VMware Tools": ""%PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe""; "VMware User Process": ""%PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe" -n vmusr"; "Adobe Reader Speed Launcher": ""%PROGRAM FILES%\Adobe\Reader 9.0\Reader\Reader_sl.exe""; "Adobe ARM": ""%PROGRAM FILES%\Common Files\Adobe\ARM\1.0\AdobeARM.exe""; "SunJavaUpdateSched": ""%PROGRAM FILES%\Common Files\Java\Java Update\jusched.exe""; "Xplorer": ""%WINDIR%\Xplorer.exe" /Windows")
    • HKEY_LOCAL_MACHINE\SOFTWARE\KHATRA\Startup_List ("FileZilla Server Interface": ""%PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe""; "VMware Tools": ""%PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe""; "VMware User Process": ""%PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe" -n vmusr"; "Adobe Reader Speed Launcher": ""%PROGRAM FILES%\Adobe\Reader 9.0\Reader\Reader_sl.exe""; "Adobe ARM": ""%PROGRAM FILES%\Common Files\Adobe\ARM\1.0\AdobeARM.exe""; "SunJavaUpdateSched": ""%PROGRAM FILES%\Common Files\Java\Java Update\jusched.exe""; "Xplorer": ""%WINDIR%\Xplorer.exe" /Windows")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ServiceCurrent (@: dword:0000000f)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_IMAPISERVICE\0000\Control ("ActiveService": "ImapiService")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch ("Epoch": dword:0000001e)
    Altera as seguintes entidades de registo:
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ("Hidden": dword:00000000)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ("Xplorer": ""%WINDIR%\Xplorer.exe" /Windows"; "VMware User Process": "%SYSDIR%\KHATRA.exe"; "VMware Tools": "%WINDIR%\Xplorer.exe")
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ("Hidden": dword:00000000)
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher ("TracesProcessed": dword:00000027; "TracesSuccessful": dword:0000000e; "LastTraceFailure": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule ("NextAtJobId": dword:00000003)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc ("Start": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ProtectedStorage ("Start": dword:00000004)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\upnphost ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mnmsrvc ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RDSessMgr ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NtmsSvc ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TermService ("Start": dword:00000002)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TlntSvr ("Start": dword:00000002)

Ajude a tornar a rede mais segura enviando-nos arquivos/URLs suspeitos para análise.

Envie o seu arquivo/URL Ou Acesse o Avira Answers

Porque enviar um arquivo suspeito?

Se você encontrou um arquivo ou um website suspeito que não está na nossa base de dados, nós analisaremos e determinaremos se ele é nocivo. As nossas descobertas são, então, enviadas aos nossos milhões de usuários através da próxima atualização da base de dados de vírus. Se você possui o Avira, você obterá essa atualização também. Não possui o Avira? Obtenha-o através do nossa página inicial.

O que é o Avira Answers?

Esta é a nossa próspera comunidade de profissionais técnicos e especialistas a meio período, trabalhando em conjunto para ajudar a resolver os problemas da tecnologia. É o lugar perfeito onde fazer as suas perguntas, em uma comunidade de colegas usuários do Avira.