w32/golten.worm, w32.scard, w32/aler.a.worm, worm.win32.aler, worm_golten.a
tipo: virus
tama?o: variable
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.7 al 12/11/2004
w32/golten, es un gusano con caracter?sticas de troyano backdoor, este utiliza ataques netbios para difundirse a trav?s de la red. el gusano tambi?n se difunde a trav?s de e-mail.
caracter?sticas del mensaje de e-mail:
asunto: latest news about arafat !!!
cuerpo:
hello guys,
latest news about arafat!
unimaginable!!!!!!
archivo adjunto:
arafat_1.emf (es una imagen)
arafat_2.emf (archivo emf que se aprovecha de la vulnerabilidad descrita en el bolet?n de microsoft ms04-032 , el cual permite la ejecuci?n remota de archivos)
----------------------------
cuando el gusano se ejecuta se copia a si mismo como:
system \alerter.exe system \spc.exe system \comwsock.dll system \dmsock.dll system \scardser.exe system \sptres.dll nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32)
adem?s crea un servicio en la siguiente entrada del registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\s ystem\ currentcontrolset\ services\netlog
net login helper= sys tem \ scardser.exe
tambi?n modifica la siguiente entrada en el registro del servicio alerter:
hkey_local_machine\s ystem\ currentcontrolset\ services\alerter
imagepath= sys temroot \ system32\svchost.exe -k localservice
por los siguientes valores:
hkey_local_machine\s ystem\ currentcontrolset\ services\alerter
imagepath= sys temroot \ system32\alerter.exe
seguidamente el gusano injecta el archivo comwsock.dll dentro del proceso de el lsass.exe, y el archivo dmsock.dll dentro de los siguientes procesos:
svchost.exe explorer.exe inetinfo.exe qq.exe msimn.exe iexplore.exe outlook.exe msmsgs.exe msnmsgr.exe el gusano se difunde a trav?s de la red utilizando una relaci?n de usuarios y passwords, si el gusano logra accesar se copiar? y ejecutar? a si mismo en el sistema atacado.
admin$\system32\alerter.exe
admin$\system32\alerter16.exe
la relaci?n de passwords que utiliza son los siguientes:
stgzs security super oracle secret root admin password passwd pass 88888888 888888 00000000 000000 11111111 111111 111 fan@ing* 54321 654321 ~!@# !@#$ ^ !@#$ !@#$ !@#$ !@#$ 123!@# |
