w32/gool.worm, w32/kazoa.c
tipo: gusano.
tama?o: 662,528 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.4 al 11/02/2003.
descripción:
w32/gool , es un troyano que permite el acceso remoto y no permitido de un intruso a la computadora infectada. abre el puerto 31337, utiliza la red de intercambio de archivos del kazaa y canales mirc para poder difundirse. también intenta finalizar los procesos de varios antivirus y firewalls que se esten ejecutando en la computadora atacada. el archivo del troyano tiene asociado el icon del archivo jdbgmgr.exe (el osito)
cuando el gusano se ejecuta, este instala su componente servidor en la computadora atacada y abre el puerto 31337, el cual permite al atacante conectarse, luego el troyano envia un mensaje a su creador en http, para ello utiliza una librería script pública. el mensaje contiene la siguiente información:
from=igloo
fromemail=igloo@igloomail.com
subject=igloo
body=igloo
remote ip : [dirección ip de la computadora atacada]
remote port : [puerto abierto]
el troyano se copia asi mismo e instala el componente servidor en:
c:\windows\system\explorer.exe
c:\windows\system\realwaytohack.exe
también modifica la siguiente entrada en el registro para poder ejecutarse en el siguiente reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
explorer=c:\windows\system\explorer.exe
además copia un archivo script vbs, llamado explorer.vbs, el cual utiliza para poder difundirse a través del mirc, seguidamente modifica la siguiente entrada en el registro para poder cambiar la página de inicio del internet explorer
hkey_current_user\software\microsoft\internet explorer\main
registeredorganization=http://www.crash.com
seguidamente hace multiples copias de si mismo dentro de la carpeta sys32 que esta dentro de la carpeta windows, los nombre de la lista que se muestra a continuación son algunos de los 224 archivos que copia el troyano :
c:\windows\sys32\britney.jpg.exe
c:\windows\sys32\host_faker.jpg.exe
c:\windows\sys32\host_spoofer.jpg.exe
c:\windows\sys32\ip_spoofer.jpg.exe
c:\windows\sys32\ip_faker.jpg.exe
c:\windows\sys32\ident_spoofer.jpg.exe
c:\windows\sys32\ident_faker.jpg.exe
c:\windows\sys32\tripod_hacker.jpg.exe
c:\windows\sys32\tripod_cracker.jpg.exe
c:\windows\sys32\hotmailhacker.jpg.exe
c:\windows\sys32\hotmailcracker.jpg.exe
c:\windows\sys32\hotmail_account_sniffer.jpg.exe
c:\windows\sys32\aimhacker.jpg.exe
c:\windows\sys32\aimcracker.jpg.exe
c:\windows\sys32\icqhacker.jpg.exe
c:\windows\sys32\icqcracker.jpg.exe
c:\windows\sys32\msnhacker.jpg.exe
c:\windows\sys32\msncracker.jpg.exe
c:\windows\sys32\winxp_hacker.jpg.exe
c:\windows\sys32\winxp_cracker.jpg.exe
c:\windows\sys32\winxphack.jpg.exe
c:\windows\sys32\winxp_crack.jpg.exe
c:\windows\sys32\win2k_serial.jpg.exe
c:\windows\sys32\yahoo_cracker.jpg.exe
c:\windows\sys32\yahoo_hacker.jpg.exe
c:\windows\sys32\divx_fix.jpg.exe
c:\windows\sys32\divx_repair.jpg.exe
c:\windows\sys32\ftp_hacker.jpg.exe
c:\windows\sys32\ftp_cracker.jpg.exe
c:\windows\sys32\porn_account_hacker.jpg.exe
c:\windows\sys32\porn_account_cracker.jpg.exe
c:\windows\sys32\catherine_zeta_jones_nude.jpg.exe
c:\windows\sys32\catherine_zeta_jones_naked.jpg.exe
c:\windows\sys32\pamela_anderson_nude.jpg.exe
c:\windows\sys32\pamela_anderson_naked.jpg.exe
c:\windows\sys32\buttman.jpg.exe
c:\windows\sys32\sarah_michelle_gellar_nude.jpg.exe
c:\windows\sys32\sarah_michelle_gellar_naked.jpg.exe
c:\windows\sys32\sandra_bullock_nude.jpg.exe
c:\windows\sys32\sandra_bullock_naked.jpg.exe
c:\windows\sys32\anastasia_anal.jpg.exe
c:\windows\sys32\anastasia_naked.jpg.exe
c:\windows\sys32\anastasia_nude.jpg.exe
luego el troyano modificará algunas entradas para que la carpeta creada sea compartida por el kazaa
hkey_current_user\software\kazaa\localcontent dir0
hkey_current_user\software\kazaa\localcontent dir1
hkey_current_user\software\kazaa\localcontent dir2
hkey_current_user\software\kazaa\localcontent dir3
hkey_current_user\software\kazaa\localcontent dir4
hkey_current_user\software\kazaa\localcontent dir5
agrega el siguiente valor 0 :c:\windows\
hkey_current_user\software\kazaa\localcontent
disablesharing = 0
para poder difundirse a través del irc el troyano modifica los archivos mirc.ini y mirc.dat, de lograrlo, en la siguiente conexión se enviará el siguiente mensaje:
type ***| !hacks for my list of hacks |***
si se escribe la palabra !hacks se enviara este otro mensaje:
type !realwaytohack for a help with hacking
finalmente si se escribe la palabra que solicita el mensaje se enviara
|
