Worm/Brontok.E.1 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Brontok.E.1
Descubierto:	30/12/2005
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	44.507 Bytes
Suma de control MD5:	9813ddb49dfc6fa115f28e3f48287d3b
Versión del VDF:	6.33.00.85

General Método de propagación:
   • Correo electrónico
   • Peer to Peer

Alias:
   • Kaspersky: Email-Worm.Win32.Brontok.q
   • VirusBuster: Worm.Brontok.BX
   • Eset: Win32/Brontok.AX

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Contiene su propio motor para generar mensajes de correo
   • Reduce las opciones de seguridad
   • Modificaciones en el registro

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\ShellNew\RakyatKelaparan.exe
   • %SYSDIR%\cmd-brontok.exe
   • %SYSDIR%\%nombre del usuario actual%'s Setting.scr
   • %WINDIR%\KesenjanganSosial.exe
   • %home%\Local Settings\Application Data\smss.exe
   • %home%\Local Settings\Application Data\br%serie de caracteres aleatorios de cuatro dígitos%on.exe
   • %home%\Local Settings\Application Data\services.exe
   • %home%\Local Settings\Application Data\inetinfo.exe
   • %home%\Local Settings\Application Data\csrss.exe
   • %home%\Local Settings\Application Data\lsass.exe
   • %home%\Local Settings\Application Data\IDTemplate.exe
   • %home%\Templates\%serie de caracteres aleatorios de cinco dígitos%-NendangBro.com
   • %SYSDIR%\drivers\etc\hosts-Denied By-%nombre del usuario actual%.com

Elimina el siguiente fichero:
   • %SYSDIR%\drivers\etc\hosts-Denied By-%nombre del usuario actual%.com

Crea los siguientes ficheros:

– %home%\Local Settings\Application Data\Loc.Mail.Bron.Tok\collected email addresses%.ini Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • Brontok.A
     By: HVM31
     -- JowoBot
     VM Community --

– %WINDIR%\Tasks\At1.job Tarea planificada que ejecuta el malware en tiempos predefinidos.

Intenta descargar un fichero:

– La dirección es la siguiente:
   • www.geocities.com/stabro7ok/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– HKLM\software\microsoft\windows\currentversion\run
   • "Bron-Spizaetus" = ""%WINDIR%\ShellNew\RakyatKelaparan.exe""

– HKCU\software\microsoft\windows\currentversion\run
   • "Tok-Cirrhatus" = ""
   • "Tok-Cirrhatus-%serie de caracteres aleatorios de cuatro dígitos%" = ""%home%\Local Settings\Application Data\bron%serie de caracteres aleatorios de cuatro dígitos%on.exe""

Añade la siguiente clave al registro:

– HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot
   • "AlternateShell" = "cmd-brontok.exe"

Modifica las siguientes claves del registro:

Desactivar Regedit y el Administrador de Tareas:
– HKCU\software\microsoft\windows\currentversion\Policies\System
   Valor anterior:
   • "DisableCMD" = %configuración definida por el usuario%
   • "DisableRegistryTools" = %configuración definida por el usuario%
   Nuevo valor:
   • "DisableCMD" = dword:00000000
   • "DisableRegistryTools" = dword:00000000

Varias opciones de configuración en Explorer:
– HKCU\software\microsoft\windows\currentversion\Policies\Explorer
   Valor anterior:
   • "NoFolderOptions" = %configuración definida por el usuario%
   Nuevo valor:
   • "NoFolderOptions" = dword:00000001

Varias opciones de configuración en Explorer:
– HKCU\software\microsoft\windows\currentversion\explorer\advanced
   Valor anterior:
   • "ShowSuperHidden" =%configuración definida por el usuario%
   • "HideFileExt" = %configuración definida por el usuario%
   • "Hidden" = %configuración definida por el usuario%
   Nuevo valor:
   • "ShowSuperHidden" = dword:00000000
   • "HideFileExt" = dword:00000001
   • "Hidden" = dword:00000000

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:

De:
La dirección del remitente es falsa.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.
– Direcciones de correo recolectadas de WAB (La libreta de direcciones de Windows - Windows Address Book)

Asunto:
El campo del asunto está vacío.

El cuerpo del mensaje:
El cuerpo del mensaje es el siguiente:

   • BRONTOK.A[49] [ By: HVM64 -- JowoBot &VM Community ]
      -- Hentikanlah kebobrokan di negeri ini --
     4. Penjarakan Koruptor/ Penyelundup/ Tukang Suap/ ) Bandar NARKOBA
     + Send to %NUSAKAMBANGAN%,
     5. Stop Free Sex/ Aborsi/ ) Prostitusi
+ Go To HELL ,
     6. Stop pencemaran lingkungan/ pembakaran hutan ) perburuan liar.
     7. Stop Pornografi ) Pornoaksi
     8. SAY NO TO DRUGS $$$
      -- KIAMAT SUDAH DEKAT --
      Terinspirasi oleh:
     Elang Brontok +Spi}aetus Cirrhatus, yang hampir punah

      [ By: HVM64 ]
      -- JowoBot &VM Community --
     $$$ Akan Kubuat Mereka +VM lokal yg cengeng ) bodoh, Terkapar $$$

Archivo adjunto:
El nombre del fichero adjunto está compuesto de los siguientes elementos:

– Empieza por uno de los siguientes:
   • PATAH
   • HATI
   • CINTA
   • UNTUKMU
   • DATA-TEMEN
   • RIYANI
   • JANGKARU
   • KANGEN
   • JROX

    Seguido por una de las siguientes extensiones falsas:
   • exe

    La extensión del fichero es una de las siguientes:
   • .doc
   • .xls

El archivo adjunto es una copia del propio programa malicioso.

Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • .txt; .eml; .wab; .asp; .php; .cfm; .csv; .doc; .xls; .pdf; .ppt; .htt

Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • DOMAIN; HIDDEN; DEMO; DEVELOP; FOOZ; KOMPUTER; SENIOR; DARK; BLACK;
      BLEEP; FEEDBACK; IBM.; INTEL.; MACRO; ADOBE; FUCK; RECIPIENT; SERVER;
      PROXY; ZEND; ZDNET; CNET; DOWNLOAD; HP.; XEROX; CANON; SERVICE;
      ARCHIEVE; NETSCAPE; MOZILLA; OPERA; NOVELL; NEWS; UPDATE; RESPONSE;
      OVERTURE; GROUP; GATEWAY; RELAY; ALERT; SEKUR; CISCO; LOTUS; MICRO;
      TREND; SIEMENS; FUJITSU; NOKIA; W6.; NVIDIA; APACHE; MYSQL; POSTGRE;
      SUN.; GOOGLE; SPERSKY; ZOMBIE; ADMIN; AVIRA; AVAST; TRUST; ESAVE;
      ESAFE; PROTECT; ALADDIN; ALERT; BUILDER; DATABASE; AHNLAB; PROLAND;
      ESCAN; HAURI; NOD65; SYBARI; ANTIGEN; ROBOT; ALWIL; BROWSE; COMPUSE;
      COMPUTE; SECUN; SPYW; REGIST; FREE; BUG; MATH; LAB; IEEE; KDE; TRACK;
      INFORMA; FUJI; ZMAC; SLACK; REDHA; SUSE; BUNTU; XANDROS; ZABC; Z456;
      LOOKSMART; SYNDICAT; ELEKTRO; ELECTRO; NASA; LUCENT; TELECOM; STUDIO;
      SIERRA; USERNAME; IPTEK; CLICK; SALES; PROMO; PLASA; TELKOM; INDO;
      .CO.ID; .GO.ID; .MIL.ID; .SCH.ID; .NET.ID; .OR.ID; .AC.ID; .WEB.ID;
      .WAR.NET.ID; ASTAGA; GAUL; BOLEH; EMAILKU; SATU

Prefijar los dominios de las direcciones de correo:
Para obtener la dirección IP del servidor de correo, añade los siguientes prefijos al nombre del dominio:
   • smtp.
   • mail.
   • ns1.

P2P Para infectar otros sistemas de las redes Peer-to-Peer, realiza las siguientes operaciones: Busca todas las carpetas compartidas en la red.

   Al tener éxito, crea el siguiente fichero:
   • %todas las carpetas compartidas%.exe

   Estos ficheros son copias del programa malicioso.

Finalización de los procesos Listado de los procesos finalizados:
   • mcvsescn.exe; poproxy.exe; avgemc.exe; ccapps.exe; tskmgr.exe;
      syslove.exe; xpshare.exe; riyaniy_jangkaru.exe; systray.exe;
      ashmaisv.exe; aswupdsv.exe; nvcoas.exe; cclaw.exe; njeeves.exe;
      nipsvc.exe

Processes containing the following window title (es)
   • REGISTRY; SYSTEM CONFIGURATION; COMMAND PROMPT; SHUT DOWN; SCRIPT
      HOST; LOG OFF WINDOWS; KILLBOX; TASKKILL; TASK KILL; HIJACK; BLEEPING;
      SYSINTERNAL; PROCESS EXP; FAJARWEB; REMOVER; CLEANER; GROUP; POLICY;
      MOVZX

DoS (Denegación de Servicios) Al activarse, inicia ataques DoS en las siguientes destinaciones:
• kaskus.com
• tahun.com

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Irina Boldea el Wed, 19 Jul 2006 12:21 (GMT+1)
Descripción actualizada por Irina Boldea el Wed, 02 Aug 2006 11:08 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver