Nombre:W32/Virut.I
Descubierto:18/04/2007
Tipo:Infector de ficheros
En circulación (ITW):No
Número de infecciones comunicadas:Bajo
Potencial de propagación:Medio
Potencial dañino:Medio-alto
Fichero estático:No
Versión del IVDF:6.38.01.06 - miércoles 18 de abril de 2007

 General Alias:
   •  Kaspersky: Virus.Win32.Virut.n
   •  TrendMicro: PE_VIRUT.XB
   •  Sophos: W32/Vetor-A


Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Infects files (es)
   • Posibilita el acceso no autorizado al ordenador

 Ficheros Intenta descargar un fichero:

– La dirección es la siguiente:
   • http://64.**********.26/pk/ucsp0416.exe?t=0.4085156
El fichero está guardado en el disco duro en: %TEMPDIR%\VRT7.tmp Además, este fichero es ejecutado después de haber sido descargago. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/ATRAPS.Gen

 Registro Crea la siguiente entrada para evitar el cortafuego de Windows XP:

– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • %SYSDIR%\winlogon.exe

 Infección de ficheros Infector type: (es)

Infector embedded (es)


Self Modification (es)

Infector polymorphic (es)


Método:

Este virus queda activo en la memoria.


The following files are infected (P) (es)

By file type (es)
   • *.exe
   • *.scr
   • *.htm
   • *.html

 IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: proxim.ircgalaxy.pl
Canal: #virtu

Servidor: irc.zief.pl
Canal: #virtu



– Este programa malicioso puede obtener y enviar las siguientes informaciones:
    • Collected Email addresses (es)


– Además puede efectuar las siguientes operaciones:
    • Descargar fichero
    • Ejecutar fichero

 Inyectar el código viral en otros procesos – Se inyecta en un proceso.

    Nombre del proceso:
   • winlogon.exe


 Tecnología Rootkit Método empleado:
• System Service Descriptor Table (SSDT) Hook (es)

Engancha las siguientes funciones API:
   • NtCreateFile
   • NtCreateProcess
   • NtCreateProcessEx
   • NtOpenFile
   • NtQueryInformationProcess

Descripción insertada por Razvan Olteanu el lunes 19 de abril de 2010
Descripción actualizada por Andrei Ivanes el miércoles 21 de abril de 2010

Volver . . . .