• Viernes 29 de Marzo de 2024, 12:01

Autor Tema:  Slogod.AT  (Leído 1843 veces)

RadicalEd

  • Moderador
  • ******
  • Mensajes: 2430
  • Nacionalidad: co
    • Ver Perfil
Slogod.AT
« en: Miércoles 29 de Octubre de 2008, 18:03 »
0
Peligrosidad: 3 - Media
Difusión: Baja
Fecha de Alta: 27-10-2008
Última Actualización: 28-10-2008
Daño: Alto
[Explicación de los criterios]
Dispersibilidad:   Alto
Nombre completo: Worm.W32/Slogod.AT@US    
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [US] - Unidades del sistema (locales, mapeadas, extraíbles).
Alias:VBS/Slogod.AT (Computer Associates), W32/Autorun.worm.dx (McAfee), W32.SillyDC (Symantec), VBS_SMALL.I (Trend Micro)
Detalles

Método de Infección

Cuando se ejecuta por primera vez, Slogod.AT deja una copia de sí mismo en:

    * %System%cradle_of_filthe.vbe

Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000), o C:WindowsSystem32 (Windows XP).

También añade las siguientes entradas en el registro de Windows para ejecutarse automáticamente en el inicio del sistema:

Clave: HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogon

Valor: Userinit = "%System%userinit.exe,%System%wscript.exe,
%System%cradle_of_filthe.vbe"

Slogod.AT comprueba la existencia del fichero:

    * %System%twunk32.txt

...para saber si el equipo ya ha sido infectado.

Efectos

1.- Muestra un fichero de texto

Slogod.AT abre el bloc de notas de Windows y muestra el siguiente texto en francés:

    Il vous reste " & compteur & " demarrages a vivre

    Notre Gates, qui est a Seattle,
    Que ton Windows soit débogué,
    Que ton monopole s'impose,
    Que tes commandes soient exécutées,
    Sur le web comme sur le disque dur.
    Donnes nous aujourd'hui
    Nos mises à jour quotidiennes
    Et pardonne-nous nos utilisations de Linux,
    Comme nous pardonnons aussi
    A ceux qui ont utilisé des Mac.
    Et ne nous soumets pas au Dr Watson,
    Mais délivre nous du plantage
    Car c'est à toi qu'appartiennent,
    Le Copyright, les mégahertz et les capitaux
    Au moins jusqu'à l'an 2000
    Amen (..ne les $$$$$$)

2.- Modifica la configuración de Windows

Slogod.AT realiza numerosas modificaciones a la configuración del sistema de las maquina afectada. Los siguientes son los cambios realizados:

Para empezar deshabilita el Gestor de tareas y el Editor del Registro de Windows:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem

Valor: DisableTaskMgr = 1

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem

Valor: DisableRegistryTools = 1

Deshabilita la reproducción automática, la unidad A: en Mi PC y el explorador de Windows:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoDriveAutoRun = 1

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoDrive = 1

Deshabilita la reproducción automática en todos los dispositivos:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoDriveTypeAutoRun = 1

Deshabilita el Menu 'Archivo' de Mi PC y del explorador de Windows:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoFileMenu = 1

Elimina la solapa 'Hardware' de las secciones 'Mouse','Teclado' y 'Sonidos y Multimedia' del panel de control.

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoHardwareTab = 1

Elimina la funcionalidad de almacenar los documentos recientemente modificados:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoRecentDocsHistory = 1

Elimina el menú "Documentos recientes" del menú de inicio:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoRecentDocsMenu = 1

Mantiene la papelera de reciclaje vacía:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoRecycleFiles = 1

Deshabilita la búsqueda exhaustiva en una unidad para buscar la fuente de un enlace:

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoResolveSearch = 1

Elimina el botón 'Buscar' de la barra de tareas estándar en el explorador de Windows y los programas que usan la ventana del explorador de Windows (Tales como 'Mi PC' o 'Mis sitios de red'):

Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Valor: NoShellSearchButton = 1

Cierra la linea de comandos antes de que pueda ejecutar cualquier fichero:

Clave: HKLMSoftwareMicrosoftCommandProcessor

Valor: AutoRun = exit

Deshabilita la restauración del sistema:

Clave: HKLMSOFTWAREPoliciesMicrosoftWindowsNTSystemRestore

Valor: DisableSR = 1

Oculta las extensiones de los ficheros en el explorador de Windows:

Clave: HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced
FolderHideFileExt

Valor: UncheckedValue = 1

Deshabilita el uso de extensiones en la línea de comandos:

Clave: HKLMSOFTWAREMicrosoftCommandProcessor

Valor: EnableExtensions = 0

Deshabilita la precisión del puntero de Windows:

Clave: HKCUControlPanelMouse

Valor: DoubleClickSpeed = 4000

Clave: HKCUControlPanelMouse

Valor: MouseSpeed = 10

Si el gusano descubre la existencia de la unidad A: (ya sea una unidad fija o extraíble), realiza las siguientes acciones:

    * Elimina la siguiente clave del registro de windows:

      Clave: HKLMSoftwareMicrosoftWindowsCurrentVersionRunMS32DLL

    *

      Realiza los siguientes cambios en el sistema:

      Deshabilita el uso de la funcionalidad arrastrar-y-soltar del ratón para la ordenación o eliminación de elementos, y elimina los menús de contexto del menú de inicio:

      Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

      Valor: NoChangeStartMenu = 1

      Elimina el botón de parada del menú de inicio y deshabilita el boton de apagado en la ventana de diálogo de Seguridad de Windows:

      Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

      Valor: NoClose = 1

      Elimina los iconos de "Mis sitios de red" y "Computadoras en mi zona" de la ventana de mapeo de unidades de red:

      Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

      Valor: NoComputersNearMe = 1

      Deshabilita el uso de iconos, accesos rápidos y otros elementos de usuario del escritorio de Windows:

      Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

      Valor: NoDesktop = 1

Método de Propagación

Slogod.AT se copia a sí mismo como "cradle_of_filthe.vbe" en todas las unidades extraíbles (excepto A:) conectadas al sistema en el momento de ejecución. Además, crea o sobreescribe el fichero "autorun.inf" insertando codigo que automáticamente ejecuta el ejecutable del gusano.

Otros Detalles

El gusano instala un salvapantallas válido, sin ningún tipo de rutina maliciosa, creando para ello el fichero "scrnsave.scr".
El pasado son solo recuerdos, el futuro son solo sueños

m0skit0

  • Miembro de PLATA
  • *****
  • Mensajes: 2337
  • Nacionalidad: ma
    • Ver Perfil
    • http://fr33kk0mpu73r.blogspot.com/
Re: Slogod.AT
« Respuesta #1 en: Jueves 30 de Octubre de 2008, 09:14 »
0
Vaya gusano más cachondo...

Cita de: "Edo"
cradle_of_filthe.vbe
Del grupo de Black Metal Cradle Of Filth

Cita de: "Edo"
Il vous reste " & compteur & " demarrages a vivre

Notre Gates, qui est a Seattle,
Que ton Windows soit débogué,
Que ton monopole s'impose,
Que tes commandes soient exécutées,
Sur le web comme sur le disque dur.
Donnes nous aujourd'hui
Nos mises à jour quotidiennes
Et pardonne-nous nos utilisations de Linux,
Comme nous pardonnons aussi
A ceux qui ont utilisé des Mac.
Et ne nous soumets pas au Dr Watson,
Mais délivre nous du plantage
Car c'est à toi qu'appartiennent,
Le Copyright, les mégahertz et les capitaux
Au moins jusqu'à l'an 2000
Amen (..ne les $$$$$$)
Les hago una traducción:

Cita de: "m0skito"
Le quedan " & compteur & " arranques para vivir

Nuestro Gastes, que está en Seattle
Que tu Windows sea depurado
Que tu monopolio se imponga
Que tus comandos sean ejecutados
En la web como en el disco duro
Dános hoy día
Nuestras actualizaciones cotidianas
Y perdónanos nuestros usos de Linux
Como nosotros perdonamos también
Aquellos que han usado Mac
Y no nos sometas al Dr. Watson
Pero libranos de los cuelgues
Porque es a ti a quien pertenecen
El copyright, los megaherzios y los capitales
Al menos hasta el año 2000
Amen (..nacido el $$$$$$)

 :devil: