| VIRUS |
 |
| W32/Kwbot.B |
|
|
|
| Nombre: W32/Kwbot.B |
|
| Aliases: Backdoor.K0wbot.1.2 / 1.3.A / 1.3.B, W32.Kwbot.Worm |
|
| Variantes: Ninguna |
|
| Fecha de Descubrimiento: 26/06/2002 |
|
| Tipo: Gusano de internet - Troyano (Kazaa P2P) |
|
| Gravedad: Baja |
|
| Origen: Desconocido |
|
|
|
|
| Información: Este gusano utiliza el popular programa de intercambio de archivos entre usuarios, KaZaa, para propagarse. Genera además un troyano de acceso remoto que se conecta a través del IRC, y que permite que un atacante tome el control de la máquina infectada. |
|
|
|
Características: Programado en C, el ejecutable está comprimido y encriptado, y utiliza también técnicas de protección para dificultar su detección.
Cuando se ejecuta por primera vez, el virus se copia a si mismo como explorer32.exe en el directorio C:\Windows\System y luego modifica el registro para poder ejecutarse con cada nuevo reinicio del sistema operativo:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
explorer32 = C:\Windows\System\explorer32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
explorer32 = C:\Windows\System\explorer32.exe
Se genera el archivo temporal C:\MOO.REG, el cuál utiliza para modificar el registro que activa los archivos compartidos por el KaZaa con otros usuarios conectados:
HKCU\Software\Kazaa\LocalContent
DisableSharing = 0
Se crean luego aproximadamente 150 copias del propio virus en la carpeta compartida de dicho programa, utilizando nombres de conocidos programas y aplicaciones multimedia, todos ellos de 19 Kb. Esta es parte de una lista ejemplo:
Star Wars Episode 2 - Attack of the Clones VCD CD2.exe
Spiderman SVCD CD3.exe
Sum of all Fears SVCD CD3.exe
Grand Theft Auto 3 CD2 ISO.exe
Playstation 2 PS2 Emulator.exe
Windows XP Home to Professional Upgrade.exe
Windows XP backdoor hack.exe
Windows 2000 win2k password stealer.exe
Microsoft Office XP Upgrade (from older versions).exe
Macromedia Flash 5 Ultimate Study Guide.exe
Norton Internet Security 2002.exe
ZoneAlarm Firewall Pro.exe
Warcraft 3 Keygen.exe
Warez locator (finds and verifies).exe
Warrior Kings iso.exe
WinACE with crack.exe
Winamp 3.0 beta.exe
Windows 2000 win2k Bacdoor hack.exe
Windows 98 hacker.exe
Windows XP Professional iso.exe
WinRAR with crack.exe
Winzip Key Generator (cCore).exe
La forma de propagarse es a través de la descarga de estos archivos por parte de otros usuarios a través del KaZaa.
El componente backdoor se conecta con servidores IRC (Internet Relay Chat), habilitando a un atacante el control remoto del equipo infectado (se requiere autentificación por contraseña).
Estas son algunas de las acciones disponibles:
- Actualizar el virus descargándose una nueva versión
- Enviar información acerca del equipo infectado (la velocidad de la CPU, memoria, sistema operativo, tipo de conexión a Internet, la IP local etc....)
- Enviar información acerca de los programas instalados (enviando el archivo c:moo.txt que incluye los nombres de los programas instalados en Archivos de programa)
- Ejecutar comandos específicos de IRC, incluyendo ataques de otros usuarios en el servidor de chat.
- Controlar el cliente IRC implementado en el propio gusano.
- Enviar el troyano a través de otros canales de IRC, infectando a otros usuarios.
- Descargar y ejecutar cualquier otra clase de archivos, incluso virus.
- Realizar ataques de denegación de servicio (D.o.S) a un blanco seleccionado por el atacante.
- Desinstalarse a si mismo del sistema infectado.
Fuente: VSAntivirus
|
|
|
|
| Para eliminarlo: Las grandes compañías desarrolladoras de antivirus ya han actualizado sus definiciones para detectar este virus. Para ver una lista de las direcciones de dónde bajar estos archivos, haz click aquí. |
|
|
|
|
| Agregado el: 30/06/2002 |
|
| Modificado el: 11/07/2002 |
|
|
|
|
 |
W32/Cuydoc: Solo infecta versiones en Español de Windows. Es capaz de eliminar todos los archivos .doc de Mis documentos y copiarse a la unidad A: si algún disquete es encontrado.  |
|
| W32/IRCBot.B: Se trata de una variante de la familia SDBot. Fue detectado propagándose a través del correo electrónico, como spam, pero no tiene ninguna rutina para propagarse por ese medio. En cambio, puede ser distribuido a través de los canales de IRC. |
|
|
|
 |
Virus más reportados en los últimos 30 días:
|
|
|
 |
|
Podés incorporar nuestras noticias y alertas en tu sitio:
|
|
|
0
|
