w32.spybot.zif
tipo: gusano
tama?o: 130,048 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.8 y 5.9 al 01/11/2005. descripción:
w32/spybot.zif , es un gusano residente en memoria, se difunde a trav?s de los recursos compartidos de la red, permite el acceso remoto y no permitido de un intruso a la computadora infectada a trav?s del irc.
este gusano tambi?n se aprovecha de las siguientes vulnerabilidades:
vulnerabilidad webdav vulnerability descrito en el bolet?n de seguridad ms03-007 de microsoft. vulnerabilidad asn.1 library bit string processing variant heap corruption , descrito en el bolet?n de seguridad ms04-007 de microsoft. vulnerabilidad lsass buffer overrun , descrito en el bolet?n de seguridad ms04-011 de microsoft: vulnerabilidad dcom rpc , descrito en el bolet?n de seguridad ms03-026 de microsoft. vulnerabilidad worstation service buffer overrun, descrito en el bolet?n de seguridad ms03-049 de microsoft. vulnerabilidad plug and play , descrito en el bolet?n de seguridad ms05-039 de microsoft. cuando el gusano se ejecuta se copia as? mismo dentro:
system \svcdata.exe nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 ).
adem?s crea las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\s oftware\microsoft\windows\currentversion\run svcdata.exe= system \svcdata.exe hkey_local_machine\s oftware\microsoft\windows\currentversion\runservice svcdata.exe= system \svcdata.exe hkey_ current_user\s oftware\microsoft\windows\currentversion\run svcdata.exe= system \svcdata.exe busca computadores en la red local que est?n protegidos por contrase?as f?ciles e intentar? conectarse utilizando una relaci?n de contrase?as, si logra conectarse el gusano intentar? copiarse a si mismo en dicho computador remoto.
finaliza los siguientes procesos, algunos est?n relacionados a programas de seguridad y del sistema:
regedit.exe msconfig.exe netstat.exe msblast.exe zapro.exe navw32.exe navapw32.exe zonealarm.exe wincfg32.exetaskmon.exe pandaavengine.exe sysinfo.exe mscvb32.exe msblast.exe teekids.exe penis32.exe bbeagle.exe sysmonxp.exe winupd.exe winsys.exe ssate.exe rate.exe d3dupdate.exe irun4.exe i11r54n4.exe finalmente abre una puerta trasera (backdoor) para intentar establecer contacto con un servidor irc en el dominio [scv.unixirc.de] a trav?s del puerto tcp 6667. si logra conectarse satisfactoriamente queda a la espera de recibir ordenes remotas del atacante, las ordenes podr?an realizar las siguientes acciones,
descargar y ejecutar archivos. detener e iniciar procesos. realizar ataques de denegaci?n de servicio (dos) inicia un servidor http, ftp y socks4 abrir una l?nea de comandos en el computador atacado obtener informaci?n del sistema. capturar pulsaciones de teclado. robar contrase?as monitorea el trafico en la red. eliminar entradas en el registro. roba claves de cd de softwares instalados. 1992/2005
|
