trojan/exploit.ms05-039, w32/ircbot.worm!ms05-039, w32/tpbot-a, worm.rbot.cbqm, w32.zotob.e
tipo: gusano
tama?o: 10,366 bytes
origen: internet
destructivo: no en la calle (in the wild): si detección y eliminación: the hacker 5.8 al 16/08/2005
w32/zobot.e (trojan/exploit.ms05-039), es un gusano que se difunde explotando la vulnerabilidad de microsoft windows plug and play service, descrito en el bolet?n de seguridad de microsoft ms05-039
el gusano no infecta sistemas con windows 95/98/me/nt4/xp, pero si puede ejecutarse en dichos sistemas para tratar de infectar computadores vulnerables (windows 2000) cuando estos se conecten a dichos sistemas operativos.
cuando el gusano se ejecuta crea un mutex de nombre wintbp.exe, el cual permite que solo una instancia del gusano se ejecute en memoria.
seguidamente se copia a si mismo dentro de:
system \wintbp.exe
nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 )
adem?s crea la siguiente entrada en el registro para poder ejecutarse en cada reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
wintbp= system \wintbp.exe
el gusano se difunde a trav?s de la red generando un rango aleatorio de direcciones ip, utilizando los dos primeros octetos de la direcci?n ip del computador atacado.
seguidamente el gusano intentar? establecer comunicaci?n con un determinado servidor irc [72.20.27.115] a trav?s del puerto tcp 8080. si logra conectarse queda a la espera de recibir ordenes remotas del atacante.
tambi?n abre un servidor tftp en el puerto udp 69, luego descarga y ejecuta una copia del gusano a trav?s del servidor tftp creado anteriormente, dicho archivo tiene de nombre a[x].exe y es guardado dentro de la carpeta windows .
nota.- [x] representa a un n?mero aleatorio entre 0 - 9
finalmente si logra explotar satisfactoriamente la vulnerabilidad descrita en el bolet?n de seguridad de microsoft ms05-039 , el gusano abre una puerta trasera (backdoor) utilizando el puerto tcp 8594 en el computador atacado.
1992/2005
|
