w32/sygyp.a@mm
tipo: gusano de email
tama?o: 69,632 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.9 al 22/01/2005. descripción:
w32/sygyp.a@mm , es un gusano que se difunde a trav?s de recursos compartidos y envi? masivos de e-mail, utiliza outlook express para enviarse a si mismo a todas las direcciones de e-mail que encuentre en archivos con las siguientes extensiones .htm, .php, .hta, .doc, .hte, .php, .htt, .xls, .htx, .eml, .sht, .jsp, .stm, .xml, .js, .cgi, .vbs y .vbe
caracter?sticas del mensaje de e-mail:
asunto: google earth - explore, search and discover
cuerpo:
want to know more about a specific location? dive right in -- google earth combines satellite
imagery, maps and the power of google search to put the worlds geographic information at your
fingertips.
* fly from space to your neighborhood. type in an address and zoom right in.
* search for schools, parks, restaurants, and hotels. get driving directions.
* tilt and rotate the view to see 3d terrain and buildings.
* save and share your searches and favorites. even add your own annotations.
archivo adjunto: googleearthsetup.exe
-----------------------------------------
cuando el gusano se ejecuta se copia as? mismo con todos sus componentes en:
windows \googleearthsetup.exe system \regverif32.exe tambi?n crea los siguientes archivos dentro de:
system \sys32.reg system \reg32.reg system \oe32.reg system \sec32.reg system \fwall32.reg system \ntfs32.reg system \w32info.reg nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 ).
además modifica algunas entradas en el registro para poder ejecutarse en el siguiente reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
regvfy32= system \regverif32.exe
tambi?n modifica las siguientes entradas para deshabilitar el editor de registro y el administrador de tareas:
hkey_current_user\software\microsoft\windows\currentversion\policies\system
disabletaskmgr=1
hkey_current_user\software\microsoft\windows\currentversion\policies\system
disableregistrytools=1
para evitar que microsoft outlook visualiza mensajes de alerta el gusano modifica las siguientes entradas:
hkey_current_user\identities\[usuario]\software\microsoft\outlook express\[versi?n_de_outlook]\dont show dialogs
compact do not ask again=1
hkey_current_user\identities\[usuario]\software\microsoft\outlook express\[versi?n_de_outlook]\dont show dialogs
delete thread warning=1
hkey_current_user\identities\[usuario]\software\microsoft\outlook express\[versi?n_de_outlook]\dont show dialogs
mail empty subject warning=1
hkey_current_user\identities\[usuario]\software\microsoft\outlook express\[versi?n_de_outlook]\dont show dialogs
send mail warning=1
tambi?n modifica las configuraciones de seguridad y deshabilita el centro de seguridad de windows:
hkey_local_machine\software\microsoft\security center\antivirusdisablenotify=0
hkey_local_machine\software\microsoft\security center\antivirusoverride=0
hkey_local_machine\software\microsoft\security center\firewalldisablenotify=0
hkey_local_machine\software\microsoft\security center\firewalloverride=0
hkey_local_machine\software\microsoft\security center\updatesdisablenotify=0
hkey_local_machine\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile
enablefirewall=0
modifica las configuraciones de archivos compartidos:
hkey_local_machine\system\currentcontrolset\control\lsa
limitblankpassworduse=0
hkey_local_machine\system\currentcontrolset\control\lsa
forceguest=0
hkey_local_machine\system\currentcontrolset\control\lsa
crashonauditfail=0
crea la siguiente entrada como marca de su infecci?n:
hkey_local_machine\software\gypsy\w32.gypsy\virus information
virus type=worm
hkey_local_machine\software\gypsy\w32.gypsy\virus information
virus path= system
hkey_local_machine\software\gypsy\w32.gypsy\virus information
virus created with=visual basic 6
hkey_local_machine\software\gypsy\w32.gypsy\virus information
date of infection=[fecha]
hkey_local_machine\software\gypsy\w32.gypsy\virus information
time of infection=[hora]
en sistemas con windows nt el gusano realiza las siguientes acciones:
1.- se copia a si mismo en las siguientes ubicaciones
programfiles \windowsupdate\system security\asistant_alert.exe programfiles \windowsupdate\system security\netalert_v2.4.exe programfiles \windowsupdate\system security\updates.tmp\exploit_patcher_v1.0.0.exe programfiles \windowsupdate\system security\updates.tmp\netwatch_v1.0.3.exe 2.- modifica el archivo hosts, agregando los siguientes valores
# host file has been infected by :
# w32.gypsy@mm
127.0.0.1 www.google.com
127.0.0.1 www.yahoo.com
127.0.0.1 www.hotmail.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.symantec.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.mcafee.com
127.0.0.1 messenger.yahoo.com
127.0.0.1 messenger.msn.com
127.0.0.1 www.kazaa.com
127.0.0.1 www.emule.com
127.0.0.1 www.winmx.com
127.0.0.1 www.limewire.com
127.0.0.1 www.winguides.com
127.0.0.1 www.vet.com
127.0.0.1 www.ebay.com
127.0.0.1 www.msn.com
127.0.0.1 www.hotmail.com
127.0.0.1 www.mp3.com
127.0.0.1 www.grisoft.com
127.0.0.1 www.zonelabs.com
127.0.0.1 www.lavasoft.com
127.0.0.1 update.microsoft.com
127.0.0.1 morpheus.com
127.0.0.1 www.imesh.com
127.0.0.1 www.edonkey2000.com
127.0.0.1 www.bearshare.com
127.0.0.1 www.agsatellite.com
127.0.0.1 www.zeropaid.com
127.0.0.1 www.bittorrent.com
127.0.0.1 login.yahoo.com
127.0.0.1 www.securityfocus.com
127.0.0.1 www.geocities.com
127.0.0.1 www.sophos.com
127.0.0.1 www.pandasoftware.com
127.0.0.1 www.ibm.com
127.0.0.1 www.dell.com
127.0.0.1 www.hp.com
127.0.0.1 www.sec-1.com
127.0.0.1 www.kaspersky.com
3.- detiene los siguientes procesos relacionados a programas de seguridad
avgctrl.exe kav.exe avgamsvr.exe avgserv.exe avgmsvr.exe avgcc32.exe avgcc.exe avginet.exe avgupsvc.exe avgemc.exe avgnt.exe avgregcl.exe avgserv9.exe avgw.exe alogserv.exe avsynmgr.exe mpfsheild.exe doc mpfagent.exe mpf.exe mpfconsole.exe mcagent.exe mcappins.exe mcdash.exe mcdetect.exe mcinfo.exe mcmnhdlr.exe mcshield.exe mctskshd.exe mcupdate.exe mcvsescn.exe mcvsshld.exe avpcc.exe mcvsftsn.exe mcvsrte.exe vstskmgr.exe vsmain.exe vshwin32.exe pccpfw.exe pccclient.exe pcclient.exe pccguide.exe pccnt.exe pccntmon.exe pccntupd.exe pcctlcom.exe pcscan.exe avpm.exe kavmm.exe kavsvc.exe avengine.exe remupd.exe inicio.exe prevsrv.exe alsvc.exe almon.exe savservice.exe swnetsup.exe alunotify.exe ccapp.exe nisserv.exe nisum.exe navapsvc.exe nmain.exe navapw32.exe vetmsg.exe vettray.exe vet32.exe vetnt.exe vsmon.exe zlclient.exe zapro.exe zonealarm.exe 4.- elimina todas las tareas que encuentre en el programador de tareas y crea la siguiente tarea para ejecutar todos los dias el archivo del gusano
shutdown -s -t10 -c from state to state and city to city infecting computers like a wondering gypsy..!!
5.- finalmente visualiza el siguiente mensaje de error
the file [nombre del archivo del gusano] is corrupted or missing
|
