HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Lava = C:\Windows\System\VBS.Lava.vbs

Si cuando el troyano se ejecuta, y los minutos de la hora actual equivalen a H:15 (Ej: 23:15, 14:15, etc.), entonces se muestra un mensaje que indica cuántas veces el troyano se ha ejecutado, y cuántas ha sido usted notificado de su presencia. Esta última cifra no aparece debido a un error en su código.

También intenta modificar el registro para que el troyano sea ejecutado cada vez que se intente abrir archivos .HTM o .HTML.

Para ello el gusano modifica las siguientes claves:

HKEY_CLASSES_ROOT\htmlfile\shell\open\command
(Predeterminado) = C:\Windows\System\Lava.vbs

La acción falla por un error en el código, y el valor (Predeterminado) no es modificado.

El troyano también crea estas entradas en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Lava\Runs
HKLM\Software\Microsoft\Windows\CurrentVersion\Lava\Notifies

Estas claves solo cumplen la función de guardar la cantidad de mensajes de alerta enviados, etc.

Como sacar el virus de un sistema infectado

Para quitar manualmente el virus, ejecute un antivirus al día, y borre todos los archivos infectados.

Luego, siga estos pasos:

1. Pinche en Inicio, Ejecutar, y teclee REGEDIT (más ENTER).

2. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Lava

3. Pinche sobre la carpeta "LAVA" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave.

4. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run
Lava

5. Pinche sobre la carpeta "RUN". En el panel de la derecha debería ver algo como: 

Lava         "C:\Windows\System\VBS.Lava.vbs"

6. Pinche sobre el nombre "Lava" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave.

7. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
htmlfile
shell
open
command

8. Pinche sobre la carpeta "COMMAND". En el panel de la derecha pinche sobre:

(Predeterminado)         "C:\Windows\System\Lava.vbs"

Si aparece lo siguiente: "C:\ARCHIV~1\INTERN~1\iexplore.exe" -nohome, no haga nada. En caso contrario, borre C:\Windows\System\Lava.vbs y cámbielo por:

"C:\ARCHIV~1\INTERN~1\iexplore.exe" -nohome

9. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

10. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Fuente: Symantec AntiVirus Research Center (SARC)
(c) Video Soft - http://www.videosoft.net.uy