w32/yanz.a.worm, i-worm.yanz.a, yanz.a
tipo: gusano, backdoor
tama?o: 68608 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.7 al 17/11/2004
w32/yanz.a@mm, es un gusano que se difunde a trav?s de programas de intercambio de archivos p2p, adem?s tiene caracter?sticas de troyano backdoor, abre el puerto tcp 67.
tambi?n se difunde a trav?s de envi? masivos de e-mails. busca direcciones de e-mail en todos los archivos que tengan las siguientes extensiones .txt, .htm, .html, .xml, .dbx, .asp, .adb, .jsp, rtf y .doc
el gusano evita enviarse a las direcciones que contengan en sus nombre los siguientes textos:
@google @kaspersky @microsoft @norman @pandasoftware @sophos @symantec caracter?sticas del mensaje de e-mail:
asunto: [ alguno de los siguientes]
forevere sun yanzi free mp3 guvenkik love and sun yanzi sun yanzi sun-yanzi sun-yanzi mp3 cuerpo: [alguno de los siguientes]
i don?t want anything. i want to see sun yanzi. i want to meet sun yanzi. i am loving sun-yanzi magic. my favourite is sun yanzi. you must to listen sun-yanzi. i am enjoying to listen sun ya archivo adjunto: [alguno de los siguientes, los archivos pueden tener las extensiones .cmd, .pif, .scr y .zip]
love_sun stephan_yanzi sun_yanzi sun_yanzi_mp3 sunyanzi cuando el gusano se ejecuta muestra el siguiente mensaje:
hata
kernel hatasi
[ aceptar ]
seguidamente se copia a si mismo como:
windows \yanzi.zip
system \lsasss.exe
system \yanzi.exe
system \sun_yazi.sys
system \sun.sys
nota:
- windows representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt)
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32)
adem?s crea la siguiente entrada en el registro para poder ejecutarse en cada reinicio del sistema:
hkey_local_machine\ software\ microsoft\ windows\ currentversion\ run
microsoft kernel = sys tem \lsasss.exe em32\sun.sys pq
tambi?n el gusano intenta crear varias copias de si mismo en las carpetas que en su nombre tengan el siguiente texto shar, los archivos pueden tener los siguientes nombres:
stephan yanzi.mp3.exe sun yanzi - forever.mp3.exe sun yanzi - i am not sad.mp3.exe sun yanzi - shen qi.exe sun-yanzi.mp3.exe finalmente el gusano realiza las siguientes acciones:
abre el puerto tcp 67 y queda a la espera de recibir ordenes remotas. intentar? finalizar los procesos del regedit.exe y msconfig.exe
|
