Nombre:BDS/Mirc-based.K.5
Descubierto:23/12/2008
Tipo:Servidor Backdoor
En circulación (ITW):Sí
Número de infecciones comunicadas:Medio-bajo
Potencial de propagación:Medio-alto
Potencial dañino:Medio-alto
Fichero estático:Sí
Tamaño:782.336 Bytes
Suma de control MD5:375306f0f224df1542b0343d5756b8a5
Versión del IVDF:7.01.01.27 - martes 23 de diciembre de 2008

 General Método de propagación:
   • Infects files (es)


Alias:
   •  Mcafee: W32/Virut.gen
   •  Sophos: W32/Vetor-A
   •  Panda: W32/Virutas.gen
   •  Eset: Win32/Virut.Q
   •  Bitdefender: IRC-Worm.Generic.4269


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Suelta ficheros dañinos
   • Infects files (es)
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

 Ficheros Crea los siguientes ficheros:

– %PROGRAM FILES%\mIRC\IRC Bot\control.ini
– %PROGRAM FILES%\mIRC\IRC Bot\remote.ini
– %PROGRAM FILES%\mIRC\IRC Bot\svchost.exe
– %PROGRAM FILES%\mIRC\IRC Bot\Anjing_Malingsia.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Stupid.sys
– %PROGRAM FILES%\Microsoft Office
– %PROGRAM FILES%\mIRC\IRC Bot\fuck.sys
– %PROGRAM FILES%\mIRC\IRC Bot\kontol.mrc
– %PROGRAM FILES%\mIRC\IRC Bot\perampok_budaya.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Nama_Anjing.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Channel_Babi.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Nama_Babi.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Asshole.sys

 Registro Añade uno de los siguientes valores en el registro, para ejecutar los procesos al reiniciar el sistema:

–  [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe, %PROGRAM FILES%\Microsoft Office\WINWORD.EXE"



Añade las siguientes claves al registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\Acha.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\wscript.exe]
   • "Debugger"="rundll32.exe"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\AmyMastura.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Security Center]
   • "AntiVirusDisableNotify"=dword:0x00000001
   • "AntiVirusOverride"=dword:0x00000001
   • "FirewallDisableNotify"=dword:0x00000001
   • "FirewallOverride"=dword:0x00000001
   • "FirstRunDisabled"=dword:0x00000001
   • "UpdatesDisableNotify"=dword:0x00000001

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\registry.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\csrsz.exe]
   • "Debugger"="cmd.exe /c del"



Modifica las siguientes claves del registro:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
   Nuevo valor:
   • "EnableLUA"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Nuevo valor:
   • "ShowSuperHidden"=dword:0x00000000
   • "SuperHidden"=dword:0x00000000

– [HKLM\SOFTWARE\Classes\exefile]
   Nuevo valor:
   • "NeverShowExt"=""

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   Nuevo valor:
   • "CheckedValue"=dword:0x00000000
   • "DefaultValue"=dword:0x00000000
   • "UncheckedValue"=dword:0x00000000

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   Nuevo valor:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Nuevo valor:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   Nuevo valor:
   • "load"=""

– [HKLM\SYSTEM\CurrentControlSet\Services\wscsvc]
   Nuevo valor:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\WinDefend]
   Nuevo valor:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

 Infección de ficheros Infector type: (es)

Appender (es)
– Infector modifies last section (es)


Self Modification (es)

Infector polymorphic (es)


Método:

Este infector busca ficheros para infectar.

Este virus queda activo en la memoria.


Infection Length (es)

- 11.264 Bytes


The following file is infected (S) (es)

By file type (es)
   • .exe

 IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: proxim.irc**********.pl
Puerto: 80
Canal: &virtu
Apodo: %serie de caracteres aleatorios%

Servidor: srv201.cy**********.name
Puerto: 80
Canal: &virtu
Apodo: %serie de caracteres aleatorios%

Servidor: 60.190.2**********.1**********
Puerto: 80
Canal: &virtu
Apodo: %serie de caracteres aleatorios%

 Inyectar el código viral en otros procesos – Se inyecta a sí mismo como hilo de ejecución remoto en un proceso.

    Nombre del proceso:
   • winlogon.exe



– Inyecta una rutina de puerta trasera (backdoor) en un proceso.

    Nombre del proceso:
   • %todos los procesos activos%


 Tecnología Rootkit  Engancha las siguientes funciones API:
   • NtCreateFile
   • NtOpenFile
   • NtCreateProcess
   • NtCreateProcessEx

Descripción insertada por Petre Galan el lunes 22 de marzo de 2010
Descripción actualizada por Petre Galan el miércoles 24 de marzo de 2010

Volver . . . .