w32.toxbot.al
tipo: gusano
tama?o: 22,016 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.8 al 08/10/2005.
descripción:
w32/toxbot.al , es un gusano que se difunde a trav?s de canales irc, abre una puerta trasera que permite el acceso remoto y no permitido de un intruso a la computadora infectada, adem?s explota las siguientes vulnerabilidades
vulnerabilidad lsass buffer overrun , descrito en el bolet?n de seguridad ms04-011 de microsoft vulnerabilidad dcom rpc , descrito en el bolet?n de seguridad ms03-026 de microsoft. vulnerabilidad microsoft sql server web task stored procedure privilege escalation , descrito en el boletin de seguridad ms02-061 de microsoft cuando el gusano se ejecuta se copia a si mismo en:
system \nbthlp.exe nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 ).
seguidamente crea las siguientes entradas en el registro para poder ejecutarse en cada reinicio del sistema:
hkey_local_machine\system\currentcontrolset\control\safeboot\minimal\trkwksvc
[predeterminado]=service
hkey_local_machine\system\currentcontrolset\control\safeboot\network\trkwksvc
[predeterminado]=service
tambi?n crea un servicio de nombre netbios helper , con descripci?n enables support for netbios over tcp/ip (netbt) service and netbios name resolution, configurado para que se inicie autom?ticamente.
modifica tambi?n los siguientes valores en el registro para poder reiniciar su servicio en el modo seguro
hkey_local_machine\system\currentcontrolset\control\safeboot\minimal\netbios helper hkey_local_machine\system\currentcontrolset\control\safeboot\network\netbios helper permite a un atacante el acceso remoto y no autorizado en el computador atacado a trav?s de canales irc, el atacante podr?a realizar las siguientes acciones:
finalizar procesos. robar contrase?as. robar informaci?n del computador. descargar archivos remotos. capturar pulsaciones del teclado. finalmente abre una puerta trasera a trav?s del puerto tcp 6556 en uno de los siguientes dominios
0xff.memzero.info 0x80.online-software.org 0x80.my1x1.com 0x80.my-secure.name 1992/2005
|
