Worm/AIM.Husky - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/AIM.Husky
Descubierto:	14/07/2006
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	37.165 Bytes
Suma de control MD5:	da66a8ae31e61f5c9a01b6a30c4a59b9
Versión del VDF:	6.35.00.163
Versión del IVDF:	6.35.00.202

General Método de propagación:
   • Messenger

Alias:
   • Kaspersky: Backdoor.Win32.IRCBot.tj
   • TrendMicro: WORM_AIMBOT.AF
   • Bitdefender: Backdoor.IRC.C

Identificado anteriormente como:
   • TR/AIM.Husky

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Desactiva los programas de seguridad
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
• c:\winnt\system32\%serie de caracteres aleatorios%.exe
• c:\windows\SYSTEM32\%serie de caracteres aleatorios%.exe

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "mb2np"="%serie de caracteres aleatorios%.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "mb2np"="%serie de caracteres aleatorios%.exe"

Elimina del registro de Windows los valores de la siguiente clave:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ccApp
   • McAfee Guardian
   • KAV50
   • McAfee.InstantUpdate.Monitor
   • KAVPersonal50
   • avg7_emc
   • avg7_cc
   • nod32kui
   • BDOESRV
   • avast!

Modifica las siguientes claves del registro:

Desactiva el cortafuego de Windows XP:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Valor anterior:
   • "EnableFirewall"=%configuración definida por el usuario%
   Nuevo valor:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile]
   Valor anterior:
   • "EnableFirewall"=%configuración definida por el usuario%
   Nuevo valor:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile]
   Valor anterior:
   • "EnableFirewall"=%configuración definida por el usuario%
   Nuevo valor:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\DomainProfile]
   Valor anterior:
   • "EnableFirewall"=%configuración definida por el usuario%
   Nuevo valor:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Valor anterior:
   • "EnableFirewall"=%configuración definida por el usuario%
   Nuevo valor:
   • "EnableFirewall"=dword:00000000

Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– AIM Messenger

Mensaje
The sent message looks like the following: (es)

• http://%parámetro introducido%

El mensaje recibido puede tener la siguiente apariencia:

IRC Para enviar informaciones y para proporcionar control remoto, se conecta a los siguientes servidores IRC:

Servidor: mb2np.dogi**********.com
Puerto: 5190
Canal: #mb2np
Apodo: %serie de caracteres aleatorios%
Contraseña: niga

Servidor: mb2np.steve**********.biz
Puerto: 5190
Canal: #nigger
Apodo: %serie de caracteres aleatorios%

– Este programa malicioso puede obtener y enviar las siguientes informaciones:
    • Tiempo de trabajo del programa viral

– Además puede efectuar las siguientes operaciones:
    • Iniciar ataques DDoS por desbordamiento de SYN
    • Descargar fichero
    • Ejecutar fichero
    • Iniciar la rutina de propagación

Finalización de los procesos Processes containing the following window title (es)
   • WINDOWS TASK MANAGER
   • THE ETHEREAL NETWORK ANALYZER
   • REGISTRY EDITOR
   • SYSTEM CONFIGURATION UTILITY

Informaciones diversas Objeto mutex:
Crea el siguiente objeto mutex:
• mb2np

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Adriana Popa el Wed, 19 Jul 2006 14:54 (GMT+1)
Descripción actualizada por Adriana Popa el Tue, 25 Jul 2006 12:52 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver