Worm/Lovgate.W.3 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Lovgate.W.3
Descubierto:	21/05/2004
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	118.784 Bytes
Suma de control MD5:	b622c59dfb06aaa01382a7db6bfb9e75
Versión del VDF:	6.25.00.74

General Métodos de propagación:
   • Correo electrónico
   • Red local
   • Peer to Peer

Alias:
   • Symantec: W32.Lovgate.R@mm
   • Mcafee: W32/Lovgate.x@MM
   • Kaspersky: Email-Worm.Win32.LovGate.w
   • Sophos: W32/Lovgate-V
   • Grisoft: I-Worm/Lovgate.X
   • VirusBuster: I-Worm.Lovgate.AP2
   • Eset: Win32/Lovgate.Z
   • Bitdefender: Win32.Lovgate.V@mm

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Suelta ficheros dañinos
   • Contiene su propio motor para generar mensajes de correo
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %raíz de la partición del sistema%\WINDOWS\SYSTRA.EXE
   • %raíz de la partición del sistema%\COMMAND.EXE
   • %raíz de la partición del sistema%\WINDOWS\System32\IEXPLORE.EXE
   • %raíz de la partición del sistema%\WINDOWS\System32\RAVMOND.exe
   • %raíz de la partición del sistema%\WINDOWS\System32\hxdef.exe
   • %raíz de la partición del sistema%\WINDOWS\System32\kernel66.dll

Se copia a sí mismo en un archivo en las siguientes ubicaciones:
   • %raíz de la partición del sistema%\WORK.ZIP
   • %raíz de la partición del sistema%\WORK.RAR
   • %raíz de la partición del sistema%\setup.ZIP
   • %raíz de la partición del sistema%\setup.RAR
   • %raíz de la partición del sistema%\Important.ZIP
   • %raíz de la partición del sistema%\Important.RAR
   • %raíz de la partición del sistema%\bak.ZIP
   • %raíz de la partición del sistema%\bak.RAR
   • %raíz de la partición del sistema%\letter.ZIP
   • %raíz de la partición del sistema%\letter.RAR
   • %raíz de la partición del sistema%\pass.ZIP
   • %raíz de la partición del sistema%\pass.RAR

Crea los siguientes ficheros:

– %raíz de la partición del sistema%\WINDOWS\System32\ODBC16.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Lovgate.W.DLL

– %raíz de la partición del sistema%\WINDOWS\System32\msjdbc11.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Lovgate.W.DLL

– %raíz de la partición del sistema%\WINDOWS\System32\MSSIGN30.DLL Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Lovgate.W.DLL

– %raíz de la partición del sistema%\WINDOWS\System32\NetMeeting.exe Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Lovgate.W.1

– %raíz de la partición del sistema%\AUTORUN.INF

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Program In Windows"="%SYSDIR%\IEXPLORE.EXE"
   • "Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
   • "VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Hardware Profile"="%SYSDIR%\hxdef.exe"

Añade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

– HKLM\SYSTEM\CurrentControlSet\Services\_reg
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"=Rundll32.exe msjdbc11.dll ondll_server
   • "DisplayName"="_reg"
   • "ObjectName"="LocalSystem"

Añade la siguiente clave al registro:

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
   • "run"="RAVMOND.exe"

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:
Emplea Messaging Application Programming Interface (MAPI) para enviar respuestas a los mensajes almacenados en la bandeja de entrada. Sus características están descritas a continuación:

De:
La dirección del remitente es falsa.
Direcciones generadas. Por favor no piense que ha sido la intención del remitente enviarle este mensaje de correo. Es posible que dicho remitente no esté al tanto de la infección o no esté infectado. Además, es posible que usted reciba mensajes devueltos, indicándole que está infectado. Esto también podría ser falso.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.
– Direcciones de correo recolectadas de WAB (La libreta de direcciones de Windows - Windows Address Book)
– Direcciones generadas

Asunto:
Uno de los siguientes:
   • Error
   • Status
   • Server Report
   • Mail Transaction Failed
   • Mail Delivery System
   • hello
   • Re:%asunto original%

Además, el campo del asunto podría incluir caracteres aleatorios.

El cuerpo del mensaje:
– En algunos casos puede incluir caracteres aleatorios.
El cuerpo del mensaje de correo es uno de los siguientes:
   • Mail failed. For further assistance, please contact!
   • The message contains Unicode characters and has been sent as a binary attachment.
   • It's the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
El cuerpo del mensaje es el siguiente:

   • %remitente original% wrote:
     ====
     %cuerpo original del mensaje%
     ====
     %dominio del remitente% account auto-reply

      If you can keep your head when all about you
      Are losing theirs and blaming it on you;
      If you can trust yourself when all men doubt you,
      But make allowance for their doubting too;
      If you can wait and not be tired by waiting,
      Or, being lied about,don't deal in lies,
      Or, being hated, don't give way to hating,
      And yet don't look too good, nor talk too wise;
      ... ... more look to the attachment.

      > Get your FREE %dominio del remitente% now! <

Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • the hardcore game-.pif
   • Sex in Office.rm.scr
   • Deutsch BloodPatch!.exe
   • s3msong.MP3.pif
   • Me_nude.AVI.pif
   • How to Crack all gamez.exe
   • Macromedia Flash.scr
   • SETUP.EXE
   • Shakira.zip.exe
   • dreamweaver MX (crack).exe
   • StarWars2 - CloneAttack.rm.scr
   • Industry Giant II.exe
   • DSL Modem Uncapper.rar.exe
   • joke.pif
   • Britney spears nude.exe.txt.exe
   • I am For u.doc.exe
El nombre del fichero adjunto está compuesto de los siguientes elementos:

– Empieza por uno de los siguientes:
   • body
   • message
   • test
   • data
   • file
   • text
   • doc
   • readme
   • document
   • %serie de caracteres aleatorios%

    La extensión del fichero es una de las siguientes:
   • bat
   • cmd
   • exe
   • scr
   • pif
   • zip

El archivo adjunto es una copia del propio programa malicioso.

El adjunto es un archivo que contiene una copia del programa viral.

El mensaje de correo se ve así:

Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • wab
   • adb
   • tbb
   • dbx
   • asp
   • php
   • sht
   • htm
   • txt
   • tmp

Creación de direcciones para los campos A (destinatario) y DE (remitente):
Para generar direcciones, emplea los siguientes textos:
   • sandra; linda; julie; jimmy; jerry; helen; debby; claudia; brenda;
      anna; brent; adam; ted; fred; jack; bill; stan; smith; steve; matt;
      dave; dan; joe; jane; bob; robert; peter; tom; ray; mary; serg; brian;
      jim; maria; leo; jose; andrew; sam; george; david; kevin; mike; james;
      michael; alex; john

Combina este resultado con los dominios encontrados en los ficheros donde ha buscado direcciones anteriormente.

El dominio es uno de los siguientes:
   • hotmail.com
   • yahoo.com
   • msn.com
   • aol.com

Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • accoun; certific; listserv; ntivi; support; icrosoft; admin; page;
      the.bat; gold-certs; feste; submit; not; help; service; privacy;
      somebody; soft; contact; site; rating; bugs; you; your; someone;
      anyone; nothing; nobody; noone; webmaster; postmaster; samples; info;
      root; mozilla; utgers.ed; tanford.e; pgp; acketst; secur; isc.o;
      isi.e; ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet; fido;
      linux; kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math; unix;
      berkeley; foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai; example;
      inpris; borlan; sopho; panda; icrosof; syma; avp; .edu; -._!; -._!@;
      abuse; www; be_loyal:

Prefijar los dominios de las direcciones de correo:
Para obtener la dirección IP del servidor de correo, añade los siguientes prefijos al nombre del dominio:
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mx1.
   • smtp.
   • mail.
   • mx.

P2P Para infectar otros sistemas de las redes Peer-to-Peer, realiza las siguientes operaciones:

– Busca todas las carpetas compartidas en la red.

   Al tener éxito, crea los siguientes ficheros:
   • Support Tools.exe; Cain.pif; client.exe; Documents and
      Settings.txt.exe; findpass.exe; i386.exe; Internet Explorer.bat;
      Microsoft Office.exe; mmc.exe; MSDN.ZIP.pif; Support Tools.exe;
      Windows Media Player.zip.exe; WindowsUpdate.pif; winhlp32.exe;
      WinRAR.exe; xcopy.exe

   Estos ficheros son copias del programa malicioso.

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Suelta una copia suya en la siguiente carpeta compartida en la red:
   • admin$\system32

Emplea la siguiente información de inicio de sesión para obtener el acceso al sistema remoto:

– El siguiente listado de nombres de usuario:
   • Guest
   • Administrator

– El siguiente listado de contraseñas:
   • zxcv; yxcv; xxx; win; test123; test; temp123; temp; sybase; super;
      sex; secret; pwd; pw123; Password; owner; oracle; mypc123; mypc;
      mypass123; mypass; love; login; Login; Internet; home; godblessyou;
      god; enable; database; computer; alpha; admin123; Admin; abcd; aaa;
      88888888; 2600; 2004; 2003; 123asd; 123abc; 123456789; 1234567;
      123123; 121212; 11111111; 110; 007; 00000000; 000000; pass; 54321;
      12345; password; passwd; server; sql; !@; $%^&*; !@; $%^&; !@; $%^;
      !@; $%; asdfgh; asdf; !@; $; 1234; 111; root; abc123; 12345678;
      abcdefg; abcdef; abc; 888888; 666666; 111111; admin; administrator;
      guest; 654321; 123456

Finalización de los procesos Termina los procesos que contienen las siguientes series de caracteres:
   • RISING; SKYNET; SYMANTEC; MCAFEE; GATE; RFW.EXE; RAVMON.EXE; KILL;
      NAV; DUBA; KAV

Listado de los servicios desactivados:
   • Rising Realtime Monitor Service
   • Symantec AntiVirus Server
   • Symantec AntiVirus Client

Backdoor (Puerta trasera) Abre el siguiente puerto:

– %directorio donde se ejecuta el programa viral%\%ficheros ejecutados% en un puerto TCP aleatorio para proporcionar capabilidades de backdoor.

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Irina Boldea el Wed, 25 Oct 2006 13:50 (GMT+1)
Descripción actualizada por Irina Boldea el Mon, 06 Nov 2006 11:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver