w32.zori.b
tipo: virus
tama?o: 623,116 bytes
origen: internet
destructivo: si en la calle (in the wild): si detección y eliminación: the hacker 5.7, registro de virus al 31/03/2005
w32/zori.b, es un virus que se difunde a trav?s de archivos compartidos de windows, este infecta archivos ejecutables (.exe), nueve d?as despu?s de la infecci?n el virus elimina todos los archivos que encuentre en todos los discos de la computadora atacada. el virus esta escrito en delphi
cuando el virus se ejecuta visualiza una imagen, el archivo de imagen tiene como nombre andylau y es de extensi?n .bmp, seguidamente se copia a si mismo en:
windows \temp\ssshost.exe windows \svchost.exe nota:
windows representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt )
adem?s crea una entrada en el registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
microsoft= windows \svchost.exe
tambi?n crea la siguiente entrada en el registro para poder ejecutarse cada vez que se intente ejecutar archivos de extensi?n .exe
hkey_local_machine\software\classes\exefile\shell\open\command
[predeterminado]= windows \svchost.exe 1 *
luego crea una entrada en el registro para establecer su marca de infecci?n:
hkey_local_machine\software\mysoft
version=0x3e9
intenta eliminar los siguientes valores en el registro:
hkey_local_machine\software\microsoft\windows\currentversion\run\skynet personal firewall
hkey_local_machine\software\microsoft\windows\currentversion\run\iduba personal firewall
hkey_local_machine\software\microsoft\windows\currentversion\run\iamapp?
hkey_local_machine\software\microsoft\windows\currentversion\run\rfw
hkey_local_machine\software\microsoft\windows\currentversion\run\popproxy
hkey_local_machine\software\microsoft\windows\currentversion\run\ravmon
hkey_local_machine\software\microsoft\windows\currentversion\run\ravtimer
seguidamente intentar? deshabilitar varios procesos relacionados a programas de seguridad:
pfw.exe kvfw.exe kavpfw.exe iamapp.exe nmain.exe freepp.exe freekav.exe freesys.exe iparmor.exe trojan_hunter.exe rfw.exe rav taskmgr.exe finalmente realizar? las siguientes acciones:
intentar? establecer conexi?n con el dominio youda2000.vicp.net a trav?s del puerto tcp 1879, si logra establecer comunicaci?n queda a la espera de recibir ordenes remotas de un atacante. busca en el computador atacado archivos .exe, si los encuentra adiciona su c?digo v?rico en estos, incrementando su tama?o en 623,116 bytes.
1992/2005
|
