w32/opaserv.p, worm.w32/opaserv.p@share
tipo: gusano.
tama?o: 31,744 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.4 al 02/03/2003.
descripción:
w32/opaserv .p, es una nueva variante de w32/opaserv , al igual que las variantes anteriores logra infectar computadoras a través de unidades compartidas, solo afecta a computadoras que tengan instalados windows 9x.
cuando el gusano se ejecuta, copia varios archivos en la carpeta de windows y system:
c:\windows\msbind.dll
c:\windows\system\winsrv.exe
c:\windows\system\scr.scr
c:\windows\system\msload.exe
también crea otros archivos dentro de la carpeta windows, los cuales tienen nombres aleatorios, los nombres son elegidos de los archivos que encuentre en la carpeta system, cambiandoles la extensión por .exe .
seguidamente muestra un mensaje en una pantalla ms-dos. el mensaje simula ser información de la versión del sistema operativo windows instalada en la computadora infectada. luego intentará borrar toda la información del disco duro, para lograr esto modificará o creará el siguiente archivo: bootsect.dos , que tiene una imagen del sector de arranque del computador infectado.
también modifica el archivo autoexec.bat agregandole la siguiente linea:
@mslicenf.com
seguidamente modifica el archivo boot.ini
[boot loader]
default=c:\ c:\=”previous operating system on c:
finalmente el archivo msdos.sys
[options]
logo=0
también modifica las siguientes entradas en el registro para poder ejecutarse en el siguiente reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
winsrv= sysdir \ winsrv.exe
hkey_local_machine\software\microsoft\windows\currentversion\run
scr= sysdir \ scr.scr
hkey_local_machine\software\microsoft\windows\currentversion\run
loadmanager= sysdir \ msload.exe
fianlmente el gusano utiliza los siguientes comandos para detener servicios en ejecución en el computador atacado:
net stop navapsvc
net stop avpcc
net stop persfw
net stop mcshield
net stop sweepsrv.sys
computadoras propensas a ser infectadas :
- con conexión permanente a internet
- con recursos compartidos en windows 95/98/me
- sin el parche de seguridad de microsoft para los recursos compartidos (el parche evita que el virus o un usuario pueda ingresar al recurso sin saber la contraseña)
soluciones :
1- instalar el parche de seguridad de microsoft para los recursos compartidos
http://www.microsoft.com/technet/security/bulletin/ms00-072.asp
2- colocar contraseña a los recursos compartidos.
si los recursos no tienen contraseña cualquier persona en internet puede ingresar al recurso y copiar, borrar, mover archivos.
|
