w32/flow, worm.p2p.vb.o, w32/winur.worm.b
tipo: gusano
tama?o: 69,632 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.4 al 05/02/2003. descripción:
w32/winur.b , es un gusano que se transmite vía e-mail, icq, kazaa, grokster y disquetes, realiza ataques de dos (denegación de servicio) a 3 sitios web determinados.
cuando w32/winur.b, es ejecutado crea una carpeta oculta llamada winrun dentro de la unidad c:, se copia a sí mismo dentro de la carpeta utilizando nombres de archivos que encuentre en las carpetas de personal, my music y my video y como alguno de los siguientes nombres:
.exe
adobe photoshop crack.exe
age of empire crack.exe
age of mythology crack.exe
all microsoft games crack.exe
american concuest crack.exe
anno 1503 crack - no cd.exe
aol hacker.exe
aol password stealer.exe
beach life crack nocd.exe
britney spears game.exe
bugbear remover.exe
christina aguilera game.exe
die another day dvd full.exe
die another day flash movie(1).exe
die another day flash movie.exe
driver 2 crack.exe
dvd ripper.exe
ea games keygen.exe
esafe desktop protection crack.exe
fifa 2003 crack.exe
fifa 2004 crack.exe
free adsl.exe
frontline attack war over europe nocd crack.exe
frontpage cracker.exe
gta 3 game crack nocd.exe
gta3 game crack nocd.exe
highland warriors crack.exe
hotmail account hacker in 30 minutes.exe
hotmail hacker.exe
hotmailhacker v1.0.exe
icon extractor v1.7 - full.exe
icq hacker.exe
icq password stealer.exe
jack the ripper v1.0.exe
jackie chan dvd collection.exe
james bond game - die another day.exe
john the ripper v1.0.exe
justin timberlake debute movie.exe
klez fixtool.exe
lord of the rings vcd.exe
love calculator.exe
mad jack crack.exe
madjack crack.exe
mafia game crack nocd.exe
mcafee virusscanner crack.exe
microangelo crack.exe
most important hacker tool ever!.exe
mp3 ripper.exe.exe
msconfig.exe
msn 5.0 banner remover.exe
msn messenger commercial crack.exe
msn password crack.exe
msn plus!.exe
mxlinx 0.30 crack.exe
nikki cox game and movie.exe
norton antivirus crack.exe
office xp license crack.exe
pornmovie (hardcore sex adult asian).exe
powerful mp3 ripper.exe
red alert 2 [nocd].exe
red alert 2 yr [nocd].exe
red alert cracker crack - all versions (yuri, 1 ,2 etc).exe
rollercoaster tycoon 2 crack.exe
rollercoaster tycoon cracker.exe
shortcut to northwind.lnk.exe
shriek dvd crack patch.exe
sim city 4 - no cd crack.exe
sim city 4 - no cd patch.exe
sim city 4 [nocd].exe
sim city 4 crack.exe
stop the war (intro).exe
stronghold crusader crack- all versions [nocd].exe
stuart little 2 crack game nocd.exe
super 2000key keygen.exe
the sims crack.exe
theme park world cracker.exe
tropico crack.exe
warcraft 3 crack.exe
webcracker.exe
website hacker v1.0.exe
windows me crack.exe
windows xp license crack.exe
yaha fixtool.exe
la carpeta winrun queda establecida para ser utilizada por la red de intercambio de archivos kazaa, grokster y winmx , como carpeta compartida para el intercambio de archivos.
seguidamente el gusano realiza otra copia de si mismo en la unidad c:
c:\klez_removal.exe
luego crea las siguientes entradas en el registro para poder ejecutarse en cada reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
msconfig=c:\winrun\msconfig.exe
hkey_local_machine\software\microsoft\windows\currentversion\runservices
winrun=c:\winrun\msconfig.exe
también crea las siguientes entradas:
hkey_current_user\software\grokster\instantmessaging
ignoreall=reg_dword:1
hkey_current_user\software\grokster\localcontent
disablesharing=reg_dword:0
hkey_current_user\software\grokster\resultsfilter
adult_filter_level=reg_dword:0
hkey_current_user\software\grokster\resultsfilter
virus_filter=reg_dword:0
hkey_current_user\software\kazaa\advanced
scanfolder=reg_dword:1
hkey_current_user\software\kazaa\instantmessaging
ignoreall=reg_dword:1
hkey_current_user\software\kazaa\localcontent
disablesharing=reg_dword:0
hkey_current_user\software\kazaa\resultsfilter
adult_filter_level=reg_dword:0
hkey_current_user\software\kazaa\resultsfilter
bogus_filter=reg_dword:0
hkey_current_user\software\kazaa\resultsfilter
firewall_filter=reg_dword:0
hkey_current_user\software\kazaa\resultsfilter
virus_filter=reg_dword:0
hkey_current_user\software\kazaa\settings
folderwarning=reg_dword:0
hkey_current_user\software\kazaa\settings
quarantine=c:\windows\start menu\programs\startup
hkey_current_user\software\kazaa\userdetails
autoconnected=reg_dword:1
además crea una entrada para mostrar un mensaje de advertencia en el msn messenger del usuario, de esta forma trata de engañar al usuario para que envie el archivo del virus a otro usuario que este conectado en el mismo canal.
hkey_local_machine\software\microsoft\messengerservice\policies
imwarning=(m)warning: the person who you are talking to is infected with a virus. send him the removal tool that can be found in c:\klez_removal.exe(m)
el día 24 de cada mes muestra el siguiente mensaje:
los días 5, 15 y 25 del mes, inicia ataques de denegación de servicios (dos)contra tres determinados sitios web.
además el gusano crea al archivo autostart.bat dentro de la unidad c:, la función de dicho archivo es la de redireccionar la salida del comando net view a otro archivo en la unidad c: llamado ntwrk32.dll, el cual proporciona al gusano la lista de sistemas incluidos en el grupo de trabajo a los que puede infectar en la unidad c:, seguidamente procederá a copiarse en las siguientes ubicaciones descritas lineas abajo, pero en pruebas realizadas en el laboratorio el gusano no llega a realizar esta rutina:
windows\start menu\programs\startup\msoffice32.exe
windows\start menu\programmas\opstarten\msoffice32.exe
documents and settings\all users\start menu\
programs\startup\msoffice32.exe
documents and settings\all users\menu start\
programmas\opstarten\msoffice32.exe
finalmente el gusano queda residente en memoria y cada cierto tiempo revisa la unidad de disquetes, en busca de uno para copiarse en este con el nombre de:
a:\important - read this.doc -62 espacios en blanco- .exe
1992/2003 |
