Nombre:Worm/Autorun.aaer
Descubierto:07/07/2010
Tipo:Gusano
En circulación (ITW):Sí
Número de infecciones comunicadas:Medio-bajo
Potencial de propagación:Medio-bajo
Potencial dañino:Medio-bajo
Fichero estático:Sí
Tamaño:757.317 Bytes
Suma de control MD5:cea12765341e12c6b960c4470de391a2
Versión del IVDF:7.10.09.33 - miércoles 7 de julio de 2010

 General Métodos de propagación:
   • Función de autoejecución
   • Messenger


Alias:
   •  Mcafee: W32/Yahlover.worm.gen.d virus
   •  Sophos: W32/AutoRun-AOA
   •  Bitdefender: Trojan.AutoIt.AIL
   •  Panda: W32/Autorun.JKR
   •  Eset: Win32/Autoit.EB


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Descarga ficheros dañinos
   • Suelta ficheros dañinos
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\system3_.exe
   • %disquetera%\system3_.exe
   • %SYSDIR%\system3_.exe



Crea los siguientes ficheros:

– %SYSDIR%\autorun.ini
– %disquetera%\autorun.inf Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • %código que ejecuta malware%




Intenta descargar algunos ficheros:

– La dirección es la siguiente:
   • http://advgoogle.0catch.com/**********


– Las direcciones son las siguientes:
   • http://www.balu000.0catch.com/set/**********
   • http://www.balu001.0catch.com/set/**********
   • http://www.balu002.0catch.com/set/**********
   • http://www.balu005.0catch.com/set/**********
   • http://www.balu006.0catch.com/set/**********
   • http://www.balu007.0catch.com/set/**********
   • http://www.balu008.0catch.com/set/**********
   • http://www.balu009.0catch.com/set/**********
   • http://www.balu010.0catch.com/set/**********
   • http://www.balu011.0catch.com/set/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb018/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb020/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb000/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb004/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb002/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb016/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb024/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb006/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb010/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb012/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb022/**********


– La dirección es la siguiente:
   • http://h1.ripway.com/asdb014/**********




Intenta ejecutar los ficheros siguientes:

– Ejecuta uno de los ficheros siguientes:
   • %SYSDIR%\cmd.exe /C AT /delete /yes


– Ejecuta uno de los ficheros siguientes:
   • AT /delete /yes


– Ejecuta uno de los ficheros siguientes:
   • %SYSDIR%\cmd.exe /C AT 09:00 /interactive /EVERY:m,t,w,th,f,s,su %SYSDIR%\system3_.exe


– Ejecuta uno de los ficheros siguientes:
   • AT 09:00 /interactive /EVERY:m,t,w,th,f,s,su %SYSDIR%\system3_.exe

 Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe system3_.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Yahoo Messengger"="%SYSDIR%\system3_.exe"



Añade las siguientes claves al registro:

– [HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN]
   • "Default_Page_URL"="http://www.advgoogle.blogdpot.com"
   • "Default_Search_URL"="http://www.advgoogle.blogdpot.com"
   • "Search Page"="http://www.advgoogle.blogdpot.com"
   • "Start Page"="http://www.advgoogle.blogdpot.com"

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.advgoogle.blogdpot.com"

 Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– Yahoo Messenger

La URL remite a una copia del program malicioso descrito. Si el usuario descarga y ejecuta este fichero, el proceso de infección volverá a iniciarse.

 Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Descripción insertada por Petre Galan el jueves 19 de agosto de 2010
Descripción actualizada por Petre Galan el jueves 19 de agosto de 2010

Volver . . . .