backdoor.irc.zcrew, irc/flood.bi
tipo: troyano
tama?o: 25,890 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.4 al 15/02/2003. descripción:
w32/zcrew, es un troyano que permite el acceso remoto y no permitido de un intruso a la computadora infectada. este troyano utiliza el mirc para poder conectarse a internet y establecer contacto con su creador, es utilizado tambien para un ataque de envio masivo de ping a una determinada dirección ip. el troyano esta escrito como un script de irc.
el troyano se ejecuta cuando el mirc carga el script del troyano, este a la vez ejecuta un programa de windows se utiliza para oculta las ventanas del irc, este programa se llama svchost32.exe.
algunas variaciones del troyano crean los siguientes archivos en la carpeta system
c:\windows\system\bootdrv.dll (pertenece a otra aplicación)
c:\windows\system\explore.dat
c:\windows\system\explore.exe
c:\windows\system\explorer.exe (pertenece a otra aplicación)
c:\windows\system\iiscache.dll
c:\windows\system\libparse.exe
c:\windows\system\moo.dll (pertenece a otra aplicación)
c:\windows\system\navdb.dbx
c:\windows\system\psexec.exe (pertenece a otra aplicación)
c:\windows\system\rcfg.ini
c:\windows\system\rconnect.con
c:\windows\system\rconnect.exe (pertenece a otra aplicación)
c:\windows\system\secure.bat
c:\windows\system\str.vxd
c:\windows\system\svchost32.exe (pertenece a otra aplicación)
c:\windows\system\v32driver.bat
c:\windows\system\web.swf (pertenece a otra aplicación)
también crea la carpeta www en system y copia algunos archivos:
c:\windows\system\www\mdx.dll (pertenece a otra aplicación) .
c:\windows\system\www\moo.dll (pertenece a otra aplicación) .
c:\windows\system\www\views.mdx (pertenece a otra aplicación).
nota: alguno de los archivos mencionados anteriormente pertenecen a otras aplicaciones o programas, estos no son maliciosos,
además el troyano crea la siguiente entrada en el registro
hkey_local_machine\software\microsoft\ windows\currentversion\run
ccreg=c:\windows\system\explorer.exe
|
