w32/opaserv.worm.r, w32/opaserv.worm.o, trojan.win32.opakill.c, win32/opaserv.m.worm, win32.opaserv.r, worm_opaserv.r
tipo: gusano.
tama?o: 17,408 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.4 al 05/02/2003.
descripción:
w32/opaserv .r, es una nueva variante de w32/opaserv , al igual que las variantes anteriores logra infectar computadoras a través de unidades compartidas, solo afecta a computadoras que tengan instalados windows 9x.
cuando el gusano se ejecuta, copia tres archivos en la carpeta de windows:
c:\windows\msbind.dll
c:\windows\mscat32.dll
c:\windows\mqbkup.exe
seguidamente modifica el contenido del archivo win.ini ubicado en la unidad c: con las siguientes lineas para poder ejecutarse en el siguiente reinicio del sistema:
[windows]
run = c:\windows\mqbkup.exe
[msappfont]
value=n
font=>
style=n
también modifica la siguiente entrada en el registro para poder ejecutarse en el siguiente reinicio del sistema :
hkey_local_machine\software\microsoft\windows\currentversion\run
mqbkup=c:\windows\mqbkup.exe
seguidamente el gusano verifica si la fecha del sistema es 24 y 31 de diciembre o si el año es superior al 2002, si lo es procede a realizar las siguientes acciones:
modifica el archivo autoexec.bat agregandole el comando de ejecución de mslicenf.com, el cual contiene instrucciones para infectar el sector de arranque del sistema. crea el archivo c:\boot.ini , el cual contiene instrucciones de arranque. crea el archivo c:\msdos.sys , que sobrescribe al original, el cual tiene el mismo nombre. también crea el archivo c:\bootsect.dos , que tiene una imagen del sector de arranque del computador infectado. seguidamente muestra un mensaje en una pantalla ms-dos. el mensaje simula ser información de la versión del sistema operativo windows instalada en la computadora infectada.
notice:
illegal microsoft windows license detected!
you are in violation of the digital millennium copyright act!
your unauthorized license has been revoked.
for more information, please call us at:
1-888-nopiracy
if you are outside the usa, please look up the correct contact
information on our website, at:
www.bsa.org
business software alliance
promoting a safe & legal online world.
despues de mostrar el mensaje procedera a borrar el cmos y todo el disco duro,
computadoras propensas a ser infectadas :
- con conexión permanente a internet
- con recursos compartidos en windows 95/98/me
- sin el parche de seguridad de microsoft para los recursos compartidos (el parche evita que el virus o un usuario pueda ingresar al recurso sin saber la contraseña)
soluciones :
1- instalar el parche de seguridad de microsoft para los recursos compartidos
http://www.microsoft.com/technet/security/bulletin/ms00-072.asp
2- colocar contraseña a los recursos compartidos.
si los recursos no tienen contraseña cualquier persona en internet puede ingresar al recurso y copiar, borrar, mover archivos.
1992/2002
|
