Foro de Informatica
" Hay la misma diferencia entre un sabio y un ignorante que entre un hombre vivo y un cadáver "

- Aristóteles -



        


Google
 
Web www.ComputerFacil.com
Forista del Mes:

Kobas



Forum Rules Normas de los Foros
  Reply to this topicStart new topicStart Poll

> Noticias Sobre Virus mas peligrosos, Virus, Troyanos, Gusanos...
Suscribirse | Enviar por correo | Imprimir
sutura
  Publicado: Aug 30 2004, 11:28 AM
Quote Post


Byte avanzado
****

Grupo: Miembros
Mensajes: 298
Miembro nº: 23
Registrado: 23-August 04
Aparece una nueva versión del Bagle

Bagle ha sido uno de los gusanos más prolí­ficos del 2004, y parece que todaví­a seguiremos viendo mucho de él. A media tarde de ayer en España apareció un nuevo miembro de su familia, detectado como Win32/Bagle.AI.

08:57 - 10/08/2004 | Fuente: ENCICLOPEDIA VIRUS


Este viaja por correo electrónico en un mensaje sin asunto y con contenido solo una palabra (€˜price€™, precio en inglés), pero con un archivo adjunto en formato ZIP que contiene dos archivos: un presumiblemente inofensivo archivo HTML y otro ejecutable.

Cuando el usuario descomprime el archivo ZIP, se crea un archivo price.html, y un directorio llamado price, con el archivo price.exe dentro de él. El archivo HTML contiene código para explotar una vulnerabilidad del Internet Explorer que le permitirí­a ejecutar el otro archivo, el cual es uno de los componentes de este nuevo Bagle.

Al ejecutar el archivo price.exe, el virus comienza sus acciones en el equipo ahora infectado, recolectando direcciones de correo electrónico adónde enviarse, y deteniendo procesos del sistema que puedan ser aplicaciones de seguridad o antivirus.

También descarga de más 200 sitios de internet otra versión anterior del Bagle, la cual es capaz de reproducirse a través de algunas redes P2P.

NOD32 detectó el componente HTML del mensaje sin necesidad de actualizarse, por lo que los usuarios del antivirus están alertados de que el contenido del archivo ZIP contení­a códigos maliciosos. Al poco tiempo, se estaba detectando el archivo price.exe como Bagle.AI, por lo que sus usuarios ya están completamente protegidos.

Recomendamos a los usuarios de internet que actualicen a la brevedad su antivirus para no verse afectados por este nuevo virus.


------Detalles del gusano Beagle.AQ------

Descripción

Gusano cuya propagación se realiza a traves del enví­o de correo electrónico a direcciones encontradas en el equipo infectado, o mediante redes de intercambio de ficheros (P2P).
Detiene la ejecución de varios procesos, muchos de ellos relativos a aplicaciones de seguridad informática.
Abre una puerta trasera en el sistema atacado que puede ser utilizada por el autor del gusano, por ejemplo, para convertir el equipo en un emisor de correo. Peligrosidad media, 3 en escala de 5.

Desinfección
  1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la caracterí­stica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)
    Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podrí­a haberse creado una copia de seguridad del virus. Si necesita ayuda vea Desactivar la restauración del sistema en Windows ME y Desactivar la restauración del sistema den Windows XP.
  2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC.Repare o borre el fichero infectado.
    Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
    Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
  3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
  4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
    Para evitar que se ejecute automáticamente cada reinicio del sistema, elimine los valores indicados de las siguientes claves del registro de Windows:

CODE

Claves: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
       HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor: "win_upd.exe"="%System%\WINdirect.exe"


CODE

Clave: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  
Valor: "erthgdr"="%System%\windll.exe"


Del mismo modo, elimine la siguiente subclave del registro:

CODE

Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n

  • Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.


    • Ficha técnica

    Nombre completo: Worm-Backdoor.W32/Beagle.AQ@MM
    Tipo: [Worm-Backdoor] - 'Malware' con capacidades de gusano y de puerta trasera
    Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
    Mecanismo principal de difusión: [MM] - Virus que enví­a masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
    Tamaño (bytes): 14848
    Alias:W32.Beagle.AO@mm (Symantec), W32/Bagle.AM.worm (Panda Software), W32/Bagle.aq@MM (McAfee), WORM_BAGLE.AC (Trend Micro), W32/Bagle.AQ@mm (PerAntivirus), Win32/Bagle.AI (Enciclopedia Virus (Ontinent)), Win32.Bagle.AG (Computer Associates), Win32/Bagle.AI (ESET (NOD32)), I-Worm.Bagle.al (AVP), W32/Bagle-AQ (Sophos), I-Worm.Bagle.al (Kaspersky (viruslist.com)), HTML_BAGLE.AC (Trend Micro), TROJ_BAGLE.AC (Trend Micro), Bagle.AL (F-Secure), W32/Bagle.AI@mm (Norman), Win32.Bagle.ac (E-safe Aladdin), Win32/Bagle.AI (ESET (NOD32)), W32/Bagle.aq (Sybari)


    Información avanzada

    Cuando Worm.W32.Beagle.AQ@MM es ejecutado, realiza las siguientes acciones:
    1. Se copia a sí­ mismo como %System%\WINdirect.exe.
      Nota: %System% es variable. El troyano localiza el directorio System y se replica en esa ubicación. Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
    2. Para ejecutarse automáticamente cada vez que el sistema es reiniciado, añade el valor indicado a las siguientes claves del registro de Windows:

    CODE

    Claves: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
           HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    Valor: "win_upd.exe"="%System%\WINdirect.exe"

  • Crea el fichero %System%\_dll.exe.
  • Introduce este fichero como una tarea a ejecutar dentro un proceso de nombre "Shell_TrayWnd.".
    Si realiza esta acción con éxito, el fichero continua ejecutandose en el proceso infectado.
    Todas las acciones descritas a continuación pareceran realizadas por el proceso que sirve de anfitrión al gusano, y este no aparecerá en el listado de procesos activos del Administrador de Tareas.
  • Finaliza la ejecución de los siguientes procesos:
    Mensaje oculto. Haz click para verlo...
  • Intenta descargar ficheros de los siguientes sitios web, guardarlos con el nombre %Windir%\~.exe y a continuación ejecutarlos:
    Mensaje oculto. Haz click para verlo...

  • Nota: %Windir% es variable. El gusano localiza el directorio de Instalación de Windows y guarda los ficheros descargados en esa ubicación. Por defecto es C:\Windows o C:\Winnt.

    • Cuando el fichero que ha sido descargado se pone en ejecución, realiza las siguientes acciones:

    a) Crea alguno de los siguientes mutex para evitar ejecutarse más de una vez en memoria.
    Como además, estos mutex tienen el mismo nombre que los creados por algunas versiones de Netsky, evita que este gusano pueda ejecutarse en el sistema:

    CODE
    MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
    'D'r'o'p'p'e'd'S'k'y'N'e't'
    _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
    [SkyNet.cz]SystemsMutex
    AdmSkynetJklS003
    ____--->>>>U<<<<--____
    _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_


    Nota: Un mutex es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones, etc.) y evitar que más de un proceso acceda al mismo tiempo al mismo recurso. Esto previene la múltiple carga del gusano en memoria.

    cool.gif Crea los siguientes ficheros:

    ☻ %System%\windll.exe.
    ☻ %System%\windll.exeopen, copia del gusano con datos aleatorios anexados.
    ☻ %System%\windll.exeopenopen, copia del gusano con datos aleatorios anexados.
    ☻ %System%\re_file.exe

    c) Para ejecutarse automáticamente cada vez que el sistema es reiniciado, añade el valor indicado a la siguiente clave del registro de Windows:

    CODE

    Clave: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  
    Valor: "erthgdr"="%System%\windll.exe"


    d) Elimina de las siguientes claves del registro, cualquier valor que contenga las cadenas de texto indicadas. Muchas son relativas a programas antivirus o de seguridad informática:

    CODE

    Claves: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
           HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    Cadenas de texto:"9XHtProtect"
                     "Antivirus"
                     "EasyAV"
                     "FirewallSvr"
                     "HtProtect"
                     "ICQ Net"
                     "ICQNet"
                     "Jammer2nd"
                     "KasperskyAVEng"
                     "MsInfo"
                     "My AV"
                     "NetDy"
                     "Norton Antivirus AV"
                     "PandaAVEngine"
                     "SkynetsRevenge"
                     "Special Firewall Service"
                     "SysMonXP"
                     "Tiny AV"
                     "Zone Labs Client Ex"
                     "service"


    e) Intenta crear copias de sí­ mismo en cualquier directorio cuyo nombre contenga la cadena de texto "shar".
    Con esto, consigue replicarse en muchos directorios de intercambio de ficheros de aplicaciones P2P como KaZaA, Bearshare, Morpheus, etc.

    Los nombres de fichero con los que se replica, son los siguientes:
    Mensaje oculto. Haz click para verlo...

    f) Busca en el equipo infectado, direcciones de correo electrónico contenidas en ficheros con alguna de las siguientes extensiones:
    Mensaje oculto. Haz click para verlo...

    g) Utiliza su propio motor SMTP (Simple Mail Transfer Protocol) para enviar un mensaje a todas las direcciones recopiladas mediante el método anterior.

    Las caracterí­sticas del mensaje enviado son las siguientes:

    Remitente: - falsificado -
    Asunto: - vací­o -
    Cuerpo del mensaje: New price
    Fichero Anexo: alguno de los siguientes:

    - 08_price.zip
    - new__price.zip
    - new_price.zip
    - newprice.zip
    - price.zip
    - price2.zip
    - price_08.zip
    - price_new.zip

    Nota: El fichero .zip contiene un ejecutable con el mismo nombre que el fichero comprimido y el archivo Price.html.
    A su vez, el ejecutable contiene una librerí­a (dll) de 11.776 bytes que descarga de Internet la segunda parte del gusano. El nuevo fichero descargado contiene el resto de la funcionalidad del gusano Bagle.AM, y está empaquetado con PeX modificado.

    h) Worm.W32.Beagle.AQ@MM evita enviarse a direcciones electrónicas que contengan alguna de las siguientes cadenas de texto:
    Mensaje oculto. Haz click para verlo...

    i) Por último, abre una puerta trasera en los puertos TCP 80 y en un puerto UDP aleatorio a través de los cuales puede contactar con el autor del gusano.
    Esto permite, por ejemplo, que el equipo infectado se utilice como emisor de correo.

    j) Crea la siguiente clave en el registro de Windows:

    CODE

    Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n






    --------------------
    user posted image
    PMEmail Poster
    Top
    0 usuario(s) está(n) leyendo esta discusión (0 invitado(s) y 0 usuario(s) anónimo(s))
    0 miembro(s):
    « Posterior | Virus, SpyWare, Troyanos, Seguridad | Anterior »

    Topic Options Reply to this topicStart new topicStart Poll

     


    ComputerFacil.com © 2006
              Webs Afiliadas - Contacto
    Ofertas PCs :: Consultor de Marketing Online :: Foros :: Posicionamiento Web :: Foros de Informatica :: Foros :: eurodipity :: elhacker

    eurodipity - eurodipity - eurodipity - eurodipity - eurodipity - eurodipity - eurodipity - eurodipity - eurodipity - eurodipity

    Invision Power Board © 2007   Licensed to: ComputerFacil.com - IPS, Inc.