Email-Worm.Win32.Kiray

Detalles técnicos

Este es un virus gusano que se propaga a través de Internet utilizando Microsoft Outlook. El gusano aparece como un mensaje de correo electrónico con el archivo adjunto Kiray.EXE.

Cuando se ejecuta el archivo EXE, el gusano modifica algunas de las claves en el registro del sistema:

HKCRexefileshellopencommand
"" = "c: windowstempKiray.exe"

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer
NoDesktop = 1
NoDrives = 1

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesNetwork
NoNetSetup = 1

Esto permite que el gusano ejecute su rutina al ejecutar cualquier archivo EXE y luego de reiniciar el sistema, todos los íconos de "Escritorio" y los íconos de discos de "Mi PC" están ocultos.

Luego, el gusano usa MAPI para propagarse por correo electrónico, al crear mensajes para todos los destinatarios en la libreta de direcciones de Outlook:

Asunto: Por favor, hagan la paz, no la guerra
Mensaje del cuerpo: el juego Lamers and Idiots
Adjuntar: Kiray.exe

El gusano también intenta verificar la libreta de direcciones de Windows (WAB) que está registrada en el registro del sistema:
HKEY_CURRENT_USERSoftwareMicrosoftWAB

Finalmente, el gusano intenta eliminar todos los archivos en los siguientes directorios:

c: windows *. * c: windowssystem *. * c: Archivos de programa Microsoft Office *. * c: Archivos de programaInternet Explorer *. *

El gusano solo funciona completamente si el usuario guarda el archivo adjunto en el directorio C: WINDOWSTEMP. De lo contrario, el gusano no se puede propagar correctamente desde la máquina infectada, ya que el mensaje del gusano se envía sin el exe adjunto. archivo.