Troj/Conlock. Falso audio se ejecuta con archivos TXT

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 557 - Año 6 - Miércoles 16 de enero de 2002

Troj/Conlock. Falso audio se ejecuta con archivos TXT

Nombre: Troj/Conlock
Tipo: Caballo de Troya
Alias: Conlock, Trojan.Win32.Conlock
Fecha: 15/nov/01
Activo: ene/02
Tamaño: 65,536 bytes
Fuente: McAfee, Sophos, Kaspersky

Este troyano impide las entradas de datos por el teclado y el uso del ratón, y se configura a si mismo para correr cada vez que el sistema es cargado y/o un archivo .TXT es abierto.

El troyano se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, sin revisarlo antes con uno o dos antivirus al día.

Visto en una ventana o en el explorador de Windows, el troyano se muestra con el icono clásico de los archivos MP3 de Winamp.

Para disimular aún más su verdadera condición, al ejecutarse, el troyano ejecuta un archivo MIDI de música y despliega una pantalla completa conteniendo un texto en otro idioma.

Los movimientos del ratón y el teclado no son funcionales mientras el troyano esté en memoria. El mismo se copia en la carpeta SYSTEM de WINDOWS (C:\Windows\System por defecto), como NOT.EXE y CONLOCK.EXE.

El registro es modificado para la ejecución automática del troyano en el inicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
conlock.exe=CONLOCK.EXE

También se modifica el registro para que se ejecute el troyano cada vez que un archivo .TXT es abierto:

HKEY_CLASSES_ROOT\txtfile\shell\open\command
(Predeterminado)=NOT.exe %1

También modifica el registro para deshabilitar la herramienta REGEDIT.EXE, el editor del registro, con lo que se dificulta su eliminación:

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableRegistryTools=1

Forma manual de eliminar el troyano

Para recobrar el uso de REGEDIT.EXE, descargue (por ejemplo en el escritorio de Windows) el archivo Conlock-Fix.Reg de nuestro sitio.

Luego, reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

Haga doble clic sobre el archivo Conlock-Fix.Reg descargado anteriormente en su PC, y confirme las modificaciones a realizar.

Luego, siga estos pasos:

1. Seleccione Inicio, Buscar, Archivos o carpetas

2. Teclee lo siguiente y pulse ENTER

NOT.EXE, CONLOCK.EXE

3. Borre NOT.EXE y CONLOCK.EXE si aparecen

4. Seleccione Inicio, Ejecutar, teclee REGEDIT y pulse Enter

5. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run

6. Pinche sobre la carpeta "Run". En el panel de la derecha pinche sobre la entrada "CONLOCK.EXE" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave.

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Descarga de Conlock-Fix.Reg
http://www.videosoft.net.uy/conlock-fix.reg

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com