Trojan.Win32.Xalnaga. Puede obligar a reinstalar Windows

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 138 - Año 4 - Jueves 23 de noviembre de 2000

Nombre: Trojan.Win32.Xalnaga
Tipo: Trojan de Win32

Este caballo de Troya modifica el registro de Windows, causando la inestabilidad del sistema operativo, y tal vez su reinstalación.

Al ser ejecutado, el trojan quita todos los iconos en el escritorio y algunas opciones en el menú de Inicio, y ya no será posible reiniciar la computadora en la manera habitual.

El ejecutable puede ser cualquier programa que hayamos recibido vía e-mail, o bajado de algún sitio malicioso.

Su código contiene este texto:

Tyrant-28881 {T-28881} virus

Las claves del registro afectadas y las acciones que causa con ello, son las siguientes:

1) Remueve todos los iconos del escritorio:

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoDesktop = 1

2) El menú "Inicio" es eliminado, por lo que no aparecen las opciones "Ejecutar", "Buscar" y "Apagar el sistema":

HKCU\Software\Microsoft\Windows\CurrentVersion\Winlogon
NoRun = 1
NoFind = 1
NoClose = 1

3) Deshabilita el editor estándar del registro (bajo WinNT):

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableRegistryTools = 1

4) Despliega una ventana con un mensaje al inicio:

HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon
LegalNoticeCaption = <<< Xal Naga was here >>>
LegalNoticeText = The human era has come to an end, the new breed of humans will evolve right now !!! Behold and despair !!!

Debido a un error del trojan, la opción 3 no funciona, y en Windows NT es posible ejecutar el Regedit para reparar los cambios hechos.

En Windows 95/98, se debe seleccionar Inicio, Programas, Explorador de Windows, abrir la carpeta Windows, buscar y pinchar sobre REGEDIT (o REGEDIT.EXE).

Buscar las claves mencionadas en los puntos 1 a 4, y poner las mismas con el valor "0" en lugar de "1", o directamente borrarlas (borrar "NoDesktop", "NoRun", "NoFind", "NoClose", etc., o poner "NoRun = 0", "NoFind = 0", etc.).

Buscar y borrar las claves "LegalNoticeCaption" y "LegalNoticeText".

Fuente: Kaspersky Lab (AVP)