MALWARE REVETON C, VIRUS DE LA POLICIA, AHORA MAS COMPLEJO

Ahora el virus de la policia es mas complejo, utilizando un link de titulo MSCONFIG en la carpeta de inicio (ya indicado en la descripcion del ultimo RANSOMWARE de hoy), y además un REG que lanza un BAT que tambien lo ejecuta:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
“Shell”=”C:\\PROGRA~3\\q4tr.bat”

siendo dicho .BAT la ejecución del .DAT a traves del RUNDLL32.EXE:

START “ok” rundll32.exe C:\PROGRA~3\rt4q.dat,FG00 /B

Total, que no solo se lanza por el lanzamiento del link del MSCONFIG.DLL del menu de inicio, sino tambien desde un Shell del EXPLORER, lanzado por la primera clave arriba indicada, que lanza el BAT indicado en la segunda clave.
O sea que la intencion del autor del malware es que se ejecute por dos vias, y asi aunque se elimine una de ellas, se siga ejecutando por la otra.

A partir del ELISTARA 27.45 de hoy pasamos a controlar especificamente esta nueva variante, eliminando todas las acciones indicadas, y con ello eliminando el dichoso virus y la pantalla de bloqueo.

Esta variante permite arrancar en MODO SEGURO, pero tambien se puede arrancar en MODO SEGURO CON SOLO SIMBOLO DE SISTEMA, lo cual recomendamos, por si por un cambio del nombre del fichero siguiera actuando desde el Shell del Explorer en dicho modo, mientras que arrancando en la segunda forma no se lanzaría ni de una manera ni de otra, al no lanzar el EXPLORER ni en consecuencia el Shell correspondiente.

Dicha version del ELISTARA 27.45 que lo detecta y elimina, restaurando además las claves modificadas, para que windows recupera la funcionalidad, estará disponible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 11-4-2013