vbs.soraci, vbs_soraci.a, vbs/soraci-a
tipo: virus
tama?o: variable
origen: internet
destructivo: si en la calle (in the wild): si detecci?n y eliminación the hacker 5.6, registro de virus al 13/04/2004
vbs/soraci , es un virus que est? desarrollado en visual basic script, su modo de infecci?n es a trav?s de un script, el cual llega en un mensaje con formato html, el cual esta oculto para el usuario, o a trav?s de p?ginas web infectadas, para poder realizarlo el virus se aprovecha de una vulnerabilidad en el componente microsoft virtual machine activex que permite la ejecuci?n del c?digo oculto en los mensajes con formato, con tan solo visualizarlos.
cuando el virus se ejecuta procede a infectar a todos los archivos con la siguientes extensiones : .htm , .htt, y .html a?adiendoles el c?digo del virus.
seguidamente se copia a si mismo con todos sus componentes dentro de:
system \ icaros.dll system \ icaros2.dll system \ scanregw.vbe adem?s el virus infecta el archivo folder.htt , el cual est? en:
windows \web\folder.htt
al infectar el archivo folder.htt se cambia autom?ticamente la configuraci?n normal del explorador de windows, de tal forma que a partir de ese momento cada vez que el usuario ingresa a una carpeta se crean los archivos folder.htt y desktop.ini.
nota:
- windows representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt ).
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32)
adem?s crea una entrada en el registro para poder ejecutarse en el siguiente reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
scanregistry= system \scanregw.vbe
luego modifica las siguientes entradas para cambiar las configuraciones del internet explorer: hkey_current_user\software\microsoft\internet explorer\main
default_page_url=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
hkey_current_user\software\microsoft\internet explorer\main
local page=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
hkey_current_user\software\microsoft\internet explorer\main
start page=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
hkey_local_machine\software\microsoft\internet explorer\main
default_page_url=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
hkey_local_machine\software\microsoft\internet explorer\main
local page=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
hkey_local_machine\software\microsoft\internet explorer\main
start page=http://www.[xxxxxxxx] .com/hedda_marie_tolentino/index.htm
finalmente si la fecha del sistema es el 26 de setiembre se activa su rutina maliciosa que reinicia el sistema. acerca de los archivos folder.htt y desktop.ini:
hay muchas consultas de los usuarios acerca de estos archivos.
los archivos folder.htt y desktop.ini pertenecen a windows y manejan la visualizaci?n de las carpetas. estos archivos son utilizados como plantillas cuando el modo vista web est? activo.
el archivo folder.htt puede ser infectado con un virus, eso no significa que el archivo folder.htt como tal sea virus.
al eliminar el virus vbs/soraci los archivos folder.htt y desktop.ini seguir?n existiendo pero ya no est?n infectados. windows continuar? creando los archivos folder.htt y desktop.ini en cada carpeta que ingrese, esta vez los archivos creados est?n limpios.
para evitar que windows continue creando los archivos folder.htt y desktop.ini se recomienda borrarlos. para ello realice una b?squeda v?a:
- men? inicio
- opci?n buscar
- opci?n archivos o carpetas
- ingrese folder.htt y el bot?n aceptar
una vez que aparecen los archivos b?scados marquelos y borrelos, repita la operaci?n con el archivo desktop.ini
si su explorador de windows no est? configurado para visualizar todos los archivos active la opci?n antes de buscar:
windows 95/98/me:
- ejecute el explorador de windows
- men? ver
- opci?n opciones de carpeta
- pesta?a ver
- en la opci?n archivos ocultos active la casilla mostrar todos los archivos
windows xp:
- ejecute el explorador de windows
- menu herramientas
- opci?n opciones de carpeta
- pesta?a ver
- en la opci?n archivos y carpetas ocultos active la casilla mostrar todos los archivos y carpetas ocultos
recomendaciones para vulnerabilidades:
microsoft ha desarrollado un parche contra la vulnerabilidad en el componente microsoft virtual machine activex . el cual est? disponible en :
http://www.microsoft.com/technet/security/bulletin/ms00-075.asp
informacion acerca del funcionamiento y uso de los archivos folder.htt y desktop.ini la puede encontrar en la web de microsoft (m?s informaci?n aqui ) |
