SoloCodigo

• Información del Perfil
  • Resumen
  • Mostrar Estadísticas
  • Mostrar Mensajes...
    • Mensajes
    • Temas
    • Adjuntos

Esta sección te permite ver todos los posts escritos por este usuario. Ten en cuenta que sólo puedes ver los posts escritos en zonas a las que tienes acceso en este momento.

254

Virus / Bagle.cd

« en: Viernes 16 de Diciembre de 2005, 18:33 »

Peligrosidad: 3 - Media  
Difusión: Baja
Fecha de Alta:16-12-2005
Última Actualización:16-12-2005
Daño:  Alto
[Explicación de los criterios]
Dispersibilidad:  Alto
Nombre completo: Worm.W32/Worm.Bagle.CD.@MM    
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [MM] - Virus que envía masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
Alias:WORM_BAGLE.CD (Trend Micro), W32/Bagle.FU.worm (Panda Software), W32.Beagle.CX@mm (Symantec), I-Worm/Bagle (Kaspersky (viruslist.com)), TR/Bagle.gen (Otros), Troj/BagleDl-AF (Otros), Troj/BagleDl-AG (Otros), Trojan.Bagle.BK (Otros), Trojan.Downloader.Bagle.F (ClamAV), Trojan/Bagle.gen (Otros), Trojan/Downloader.Bagle.f (Otros), Trojan-Downloader.Wi (Otros), Trj/Mitglieder.GB (Otros), W32/Bagle.FQ@mm (Otros), W32/Bagle.FR@mm (Otros), W32/Bagle.GEN@MM (Otros), W32/Mitglieder.GG (Otros), W32/Mitglied.NQ (Otros), W32/Mitglied.NR (Otros), W32/Mitglieder.GH (Otros), W32/Mitglieder.GI (Otros), Win32.HLLM.Beagle.921 (Otros)
Detalles
Detalles del mensaje de correo

Utiliza su propio motor(SMTP) de envío para propagarse en mensajes con las siguientes características:

Remitente: Alguno de los siguientes:

Ales
Alice
Alyce
Andrew
Androw
Androwe
Ann
Anna
Anne
Annes
Anthonie
Anthony
Anthonye
Avice
Avis
Bennet
Bennett
Constance
Cybil
Daniel
Danyell
Dorithie
Dorothee
Dorothy
Edmond
Edmonde
Edmund
Edward
Edwarde
Elizabeth
Elizabethe
Ellen
Ellyn
Emanual
Emanuel
Emanuell
Ester
Frances
Francis
Fraunces
Gabriell
Geoffraie
George
Grace
Harry
Harrye
Henrie
Henry
Henrye
Hughe
Humphrey
Humphrie
Christean
Christian
Isabel
Isabell
James
Jane
Jeames
Jeffrey
Jeffrye
Joane
Johen
John
Josias
Judeth
Judith
Judithe
Katherine
Katheryne
Leonard
Leonarde
Margaret
Margarett
Margerie
Margerye
Margret
Margrett
Marie
Martha
Mary
Marye
Michael
Mychaell
Nathaniel
Nathaniell
Nathanyell
Nicholas
Nicholaus
Nycholas
Peter
Ralph
Rebecka
Richard
Richarde
Robert
Roberte
Roger
Rose
Rycharde
Samuell
Sara
Sidney
Sindony
Stephen
Susan
Susanna
Suzanna
Sybell
Sybyll
Syndony
Thomas
Valentyne
William
Winifred
Wynefrede
Wynefreed
Wynnefreede

Asunto: Alguno de los siguientes nombres:

New Year's
New Year's Day.
Happy New Year
We congratulate happy New Year
New 2006

Texto: Contendrá una de las siguientes líneas:

The password is (nombre de fichero .gif)" con enlace al fichero de una imagen.
Password: (nombre de fichero .gif)" con enlace al fichero de una imagen.
All-foto
AN-FOTO
D-Foto
FOTO-1
FOTO-2
FOTO-3
FOTO-4
foto-bank
foto-books
FOTO-DIGITAL
foto-flower
foto-forum
Foto-War
FOTO HOME
foto land
Foto Portal
foto telephone
Foto&Video
Foto.Md
Internet-foto
m-foto
MAIL.FOTO
my foto
OK-FOTO
S-Foto
VIP-foto
web-foto

Adjunto:El nombre del archivo adjunto será alguno de los utilizados para el campo remitente. Por ejemplo:

Ales.zip
Alice.zip
Wynefrede.zip
[etc...]
y contiene un fichero de 9 kb aproximadamente, con uno de los siguientes nombres:

1.exe
12.exe
123.exe

Instalación

El gusano contiene al menos tres componentes diferentes: dos "downloader" y un "mass-mailer".

El primero es un "downloader", un troyano que probablemente es enviado en forma de spam, y que descarga otro de los componentes del gusano.

Cuando el downloader se ejecuta (su tamaño es de unos 3 Kb aproximadamente), descarga un archivo de una dirección predeterminada de Internet, y lo almacena en la carpeta del sistema con un nombre al azar, para luego ejecutarlo:

c:\windows\system32\[nombre.exe]
Este archivo es el componente que se encarga del envío masivo de mensajes desde la máquina infectada (mass-mailer). Su tamaño es de aproximadamente 20 Kb. Cuando se ejecuta, se copia a si mismo con el siguiente nombre:

c:\windows\system32\wind2ll2.exe
Cuando se ejecuta, crea la siguiente entrada en los registros indicados para ejecutarse en cada reinicio de Windows:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n
erfgddfk = "c:\windows\system32\wind2ll2.exe"

Crea los siguientes mutex con objeto de evitar que se ejecuten, de forma concurrente, mas de una copia de sí mismo:

vMuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
'D'r'o'p'p'e'd'S'k'y'N'e't'
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
[SkyNet.cz]SystemsMutex
AdmSkynetJklS003
____--->>>>U<<<<--____
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Intenta borrar las siguientes entradas en el registro, relacionadas con otros gusanos:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Zone Labs Client Ex"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"9XHtProtect"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Antivirus"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Special Firewall Service"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"service"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Tiny AV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQNet"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"HtProtect"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"NetDy"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Jammer2nd"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"FirewallSvr"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"MsInfo"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"SysMonXP"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"EasyAV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"PandaAVEngine"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"Norton Antivirus AV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"KasperskyAVEng"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"SkynetsRevenge"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQ Net"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Zone Labs Client Ex"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"9XHtProtect"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Antivirus"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Special Firewall Service"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"service"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Tiny AV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"ICQNet"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"HtProtect"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"NetDy"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Jammer2nd"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"FirewallSvr"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"MsInfo"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"SysMonXP"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"EasyAV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"PandaAVEngine"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"Norton Antivirus AV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"KasperskyAVEng"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"SkynetsRevenge"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"ICQ Net"

Nota: Los gusanos anteriores a DX contenían la palabra "Run" en lugar de "Run1n", por lo
que resulta improblabe que estas entradas existan durante la primera infección.

también puede borrar las siguientes subclaves después del 30 de Septiembre de 2011:

HKEY_CURRENT_USER\Software\ewrdds
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"erfgddfk"

Cuando el adjunto es abierto por el usuario, y el .EXE ejecutado, el mismo se copia en el sistema con el siguiente nombre:

c:\windows\system32\anti_troj.exe
También para autoejecutarse en cada reinicio del sistema, crea las siguientes entradas en el registro:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
anti_troj = "c:\windows\system32\anti_troj.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
anti_troj = "c:\windows\system32\anti_troj.exe"

Cuando se ejecuta, el gusano muestra una imagen que almacena en la siguiente ubicación:

c:\windows\system32\ntimage.gif


Esta imagen es mostrada solo una vez. Para ello el gusano crea la siguiente entrada en el registro:

HKCU\Software\FirstRRRun\FirstRRRun

Intentará conectar con el siguiente servidor SMTP a través del puerto 25:


smtp.mail.ru
también intentará contactar con google.com en la siguiente dirección IP:


194.190.195.66
El gusano contiene una lista de direcciones de Internet desde donde descargará otros archivos a través del puerto TCP 80:


http:://202.44.52.38/
http:://209.126.128.203/
http:://25kadr.org/
http:://65.108.195.73/
http:://757555.ru/
http:://80.146.233.41/
http:://abtechsafety.com/
http:://abtechsafety.com/
http:://acentrum.pl/
http:://adavenue.net/
http:://adoptionscanada.ca/
http:://adventecgroup.com/
http:://agenciaspublicidadinternet.com/
http:://ahava.cafe24.com/
http:://aibsnlea.org/
http:://aikidan.com/
http:://ala-bg.net/
http:://alevibirligi.ch/
http:://alfaclassic.sk/
http:://allanconi.it/
http:://allinfo.com.au/
http:://americasenergyco.com/
http:://amerykaameryka.com/
http:://amistra.com/
http:://analisisyconsultoria.com/
http:://av2026.comex.ru/
http:://calamarco.com/
http:://ccooaytomadrid.org/
http:://charlies-truckerpage.de/
http:://drinkwater.ru/
http:://eleceltek.com/
http:://furdoszoba.info/
http:://kepter.kz/
http:://mijusungdo.net/
http:://oklens.co.jp/
http:://phrmg.org/
http:://s89.tku.edu.tw/
http:://sacafterdark.net/
http:://template.nease.net/
http:://tkdami.net/
http:://virt33.kei.pl/
http:://www.8ingatlan.hu/
http:://www.a2zhostings.com/
http:://www.abavitis.hu/
http:://www.adamant-np.ru/
http:://www.agroturystyka.artneo.pl/
http:://www.americarising.com/
http:://www.barth.serwery.pl/
http:://www.bmswijndepot.com/
http:://www.etwas-mode.de/
http:://www.leap.co.il/
http:://www.rewardst.com/
http:://www.timecontrol.com.pl/
http:://www.ubu.pl/
Si logra descargar un archivo (llamado Z.PHP), el mismo es copiado con un nombre al azar en una carpeta llamada EXEFLD, dentro de la carpeta del sistema, y luego ejecutado:


c:\windows\system32\exefld\[nombre].exe
Intentará evitar el envío de correos a las direcciones que contengan alguna de las siguientes cadenas de texto:


@eerswqe
@derewrdgrs
@microsoft
rating@
f-secur
news
update
anyone@
bugs@
contract@
feste
gold-certs@
help@
info@
nobody@
noone@
kasp
admin
icrosoft
support
ntivi
unix
bsd
linux
listserv
certific
sopho
@foo
@iana
free-av
@messagelab
winzip
google
winrar
samples
abuse
panda
cafee
spam
pgp
@avp.
noreply
local
root@
postmaster@

 

259

La taberna del BIT / Portatil De Us$100

« en: Sábado 19 de Noviembre de 2005, 19:35 »

Información extraida de Noticias

Un sueño hecho realidad, la iniciativa de Nicolas Negroponte comienza a tomar forma.

Nicolas Negroponte y Kofi Annan, secretario de las Naciones Unidas, acaban de desvelar un primer prototipo del portátil a 100 dólares en el encuentro mundial de la información que se está celebrando en Túnez.

Inicialmente presentado por Negroponte en el Foro Económico Mundial de Davos en Enero del 2.005, el portátil aún no esta disponible para la venta, ni en proceso de producción, pero ciertamente promete...

270

Virus / Fanbot@p2p

« en: Martes 18 de Octubre de 2005, 17:27 »

Peligrosidad: 3 - Media  
Difusión:Baja Fecha de Alta:18-10-2005
Última Actualización:18-10-2005
Daño:  Alto
Dispersibilidad:  Alto
Nombre completo: Worm-Backdoor.W32/Fanbot@P2P+MM    
Tipo: [Worm-Backdoor] - 'Malware' con capacidades de gusano y de puerta trasera
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [P2P+MM] - Se propaga por redes P2P y correo electrónico.
Tamaño (bytes): 44032
Alias:W32.Fanbot.A@mm (Symantec), WORM_FANBOT.A (Trend Micro), W32/Fanbot-H (Sophos)
Detalles
Cuando Worm-Backdoor.W32/Fanbot@P2P+MM es ejecutado, realiza las siguientes acciones:
Muestra el siguiente mensaje falso de error:  


Se copia a sí mismo como %System%\remote.exe.

Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).

Crea las siguientes subclaves en el registro de Windows:
Subclaves: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RpcRemotes
           HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RpcRemotes\Security

Para ejecutarse como un servicio cada vez que se reinicia el equipo, añade los valores indicados a las siguientes claves del registro de Windows:
Clave: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RpcRemotes
Valores: "ImagePath" = "%System%\remote.exe"
         "DisplayName" = "Remote Procedure Call (RPC) Remote"
         "Type" = "110"
         "Start" = "2"
         "ErrorControl" = "1"
         "ObjectName" = "LocalSystem"

Crea un servicio con las siguientes características:

Nombre msotrado: Remote Procedure Call (RPC) Remote
Ruta: %System%\remote.exe
Tipo: Automatic

Abre una puerta trasera a través del puerto TCP 5262 y se conecta a alguno de los siguientes servidores IRC:
jojogirl.3322.org domain
SmallPhantom.meibu.com domain

Permanece en espera de recibir comandos procedentes de un atacante remoto, que permitirían a este realizar cualquiera de las siguientes acciones en el sistema afectado:
Ejecutar ficheros.
Descargar ficheros.
Recoger información del sistema.
Eliminar o actualizar el gusano.
Iniciar o detener la rutina de envío masivo de correo.

Intenta propagarse a través de las redes de intercambio de ficheros (P2P) dejando copias de sí mismo en aquellos directorios cuyos nombres contengan alguno de las siguientes cadenas de texto:
share
sharing
incoming
download
bak
bear
donkey
htdocs
http
ftp
www
icq
kazaa
lime
morpheus
mule
upload
soft
- caracteres chinos que significan "software" -
- caracteres chinos que significan "copia de seguridad" -
- caracteres chinos que significan "compartido" -
- caracteres chinos que significan "descarga" -
- caracteres chinos que significan "subida de ficheros" -

Worm-Backdoor.W32/Fanbot@P2P+MM se replica en los directorios antes citados con alguno de los siguientes nombres de fichero:
1001 Sex and more.rtf.exe
3D Studio Max 6 3dsmax.exe
ACDSee 10.exe
AcrobatReader_New.exe
activation_crack.exe
Adobe Photoshop 10 crack.exe
Adobe Photoshop 10 full.exe
Adobe Premiere 10.exe
Ahead Nero 8.exe
Altkins Diet.doc.exe
American Idol.doc.exe
angels.pif
Arnold Schwarzenegger.jpg.exe
Best Matrix Screensaver new.scr
Bifrost.scr
BlackIce_Firewall_Enterpriseactivation_Crack.exe
Britney sex xxx.jpg.exe
Britney Spears [REMOVED].jpg.exe
Britney Spears [REMOVED].jpg.exe
Britney Spears [REMOVED].jpg.exe
Britney Spears and Eminem porn.jpg.exe
Britney Spears full album.mp3.exe
Britney Spears porn.jpg.exe
Britney Spears Sexy archive.doc.exe
Britney Spears Song text archive.doc.exe
Britney Spears.jpg.exe
Britney Spears.mp3.exe
Butterfly.scr
Clone DVD 6.exe
Cloning.doc.exe
cool screensaver.scr
Cracks & Warez Archiv.exe
Dark Angels new.pif
dcom_patches.exe
Dictionary English 2004 - France.doc.exe
dictionary.doc.exe
DivX 8.0 final.exe
dolly_buster.jpg.pif
Doom 3 release 2.exe
doom2.doc.pif
e.book.doc.exe
E-Book Archive2.rtf.exe
e-book.archive.doc.exe
eminem - lick [REMOVED].mp3.pif
Eminem [REMOVED].jpg.exe
Eminem full album.mp3.exe
Eminem Poster.jpg.exe
Eminem sex xxx.jpg.exe
Eminem Sexy archive.doc.exe
Eminem Song text archive.doc.exe
Eminem Spears porn.jpg.exe
Eminem.mp3.exe
firefox-1.6a1.en-US.win32.installer.exe
Full album all.mp3.pif
Gimp 1.8 Full with Key.exe
Harry Potter 1-6 book.txt.exe
Harry Potter 5.mpg.exe
Harry Potter all e.book.doc.exe
Harry Potter e book.doc.exe
Harry Potter game.exe
Harry Potter.doc.exe
How to hack new.doc.exe
how to hack.doc.exe
icq2005-final.exe
Internet Explorer 9 setup.exe
'K.jpg.pif
Kazaa Lite 4.0 new.exe
Kazaa new.exe
Keygen 4 all new.exe
Kula.jpg.pif
Kula.scr
Learn Programming 2004.doc.exe
Lightwave 9 Update.exe
Magix Video Deluxe 5 beta.exe
Matrix.mpg.exe
matrix.scr
max payne 2.crack.exe
Maxthon_New.exe
Microsoft Office 2003 Crack best.exe
Microsoft WinXP Crack full.exe
MS Service Pack 6.exe
MSN7-final.exe
netsky source code.scr
Norton Antivirus 2005 beta.exe
nuke2004.exe
Office_Crack.exe
Opera 11.exe
Partitionsmagic 10 beta.exe
Porno Screensaver britney.scr
porno.scr
programming basics.doc.exe
Rain.scr
RealPlayer_New.exe
RFC compilation.doc.exe
rfc compilation.doc.exe
Ringtones.doc.exe
Ringtones.mp3.exe
Saddam Hussein.jpg.exe
Screensaver2.scr
Serial.txt.exe
Serials 2005_New.exe
Serials edition.txt.exe
Smashing the stack full.rtf.exe
Star Office 9.exe
Strip-Girl-2.0b.exe
strippoker.exe
Super Dollfie.pif
Teen Porn 15.jpg.pif
The Sims 4 beta.exe
TouchNet Browser 1.29b.exe
Ulead Keygen 2004.exe
UltraEdit-32 12.01 + Cracker.exe
virii.scr
Visual Studio Net Crack all.exe
Win Longhorn re.exe
Win Longhorn.doc.exe
WinAmp 13 full.exe
Winamp5.exe
Windows 2000 Sourcecode.doc.exe
Windows 2003 crack.exe
Windows XP crack.exe
WinXP eBook newest.doc.exe
Winxp_Crack.exe
XXX hardcore pics.jpg.exe


Intenta enviarse a sí mismo a través de correo electrónico utilizando para ello su propio motor SMTP (Simple Mail Transfer Protocol), lo que hace su funcionamiento independiente del cliente de correo instalado en el equipo.

El mensaje enviado tiene las siguientes características:

Remitente: alguno de los siguientes:
noreply@[- dominio del receptor -]
webmaster@[- dominio del receptor -]
register@[- dominio del receptor -]
info@[- dominio del receptor -]
admin@[- dominio del receptor -]
service@[- dominio del receptor -]
mail@[- dominio del receptor -]
administrator@[- dominio del receptor -]
support@[- dominio del receptor -]

Asunto: alguno de los siguientes:
Share Skype.
What is Skype?
Skype for Windows 1.4 - Have you got the new Skype?
Hello. We're Skype and we've got something we would like to share with you.
Your Account is Suspended.
*DETECTED* Online User Violation.
Your Account is Suspended For Security Reasons.
Warning Message: Your services near to be closed.
Important Notification!
Members Support.
Security measures.
Email Account Suspension.
Notice of account limitation.

Nota: El texto del asunto también podría estar en letras mayúsculas.

Cuerpo del mensaje: alguno de los siguientes:
Dear [- nombre de usuario -], Skype is a little pie [- eliminado -]
Legal Information

Nota: Los caracteres "--" se muestra como "/" en sistemas operativos en chino, pero podría mostrarse de diferente forma en otros lenguajes.


Dear user [- nombre de usuario -], You have success [- eliminado -]
+++ [- nombre del dominio -] Antivirus - www.[- nombre del dominio -]


Dear user [- nombre de usuario -], It has come to o [- eliminado -]
+++ [- nombre del dominio -] Antivirus - www.[- nombre del dominio -]


Dear [- nombre del dominio -] Member, We have temp [- eliminado -]
+++ [- nombre del dominio -] Antivirus - www.[- nombre del dominio -]


Dear [- nombre del dominio -] Member, Your e-mail [- eliminado -]
+++ [- nombre del dominio -] Antivirus - www.[- nombre del dominio -]



Fichero Anexo: [-nombre de fichero -].zip,
donde -nombre de fichero - es uno de los siguientes:
Skype-stuffs
Skype-info
Skype-details
Skype
readme
Skype-document
Share Skype
Skype for Windows 1.4

El fichero .zip contiene otro fichero cuyo nombre se forma de la siguiente forma:
Nombre_de_fichero . Extensión1 - muchos espacios en blanco -. Extensión2

donde:
Nombre_de_fichero es alguno de los antes mencionados
Extensión1 es alguna de las siguientes:
txt
htm
doc
tmp
Extensión2 es alguna de las siguientes:
bat
cmd
exe
scr
pif

El gusano evita enviarse a direcciones electrónicas que contengan alguna de las siguientes cadenas de texto:
root
info
samples
postmaster
webmaster
noone
nobody
nothing
anyone
someone
your
you
me
bugs
rating
site
contact
soft
no
somebody
privacy
service
help
not
submit
feste
ca
gold-certs
the.bat
page
support
spm
spam
www
secur
abuse
admin
icrosoft
support
ntivi
unix
bsd
linux
listserv
certific
google
accoun
master
avp
syma
icrosof
msn.
hotmail
panda
sopho
borlan
inpris
example
mydomai
nodomai
ruslis
messagelabs
support
.gov
gov.
.mil
foo.
antivi
fbi
f-pro
freeav
f-secur
kaspersky
mcafee
norman
norton
symantec
viruslis
jiangmin
rising
duba
berkeley
unix
math
bsd
mit.e
gnu
fsf.
ibm.com
google
kernel
linux
fido
usenet
iana
ietf
rfc-ed
sendmail
arin.
ripe.
isi.e
isc.o
secur
acketst
pgp
tanford.e
utgers.ed
mozilla
sourceforge
slashdot


Intenta propagarse aprovechando la vulenrabilidad "Microsoft Windows Plug and Play Buffer Overflow", descrita en el Boletín de Seguridad de Microsoft MS05-039.


Crea una marca de infección al añadir el valor indicado a la siguientes clave del registro de Windows:
Clave: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup  
Valor: "Ph4nt0m" = "Ph4nt0m"

Para deshabilitar el servicio wuauserv, modifica el valor indicado de la siguiente clave del registro de Windows:
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
Valor: "Start" = "4"

Para deshabilitar el servicio SharedAccess, modifica el valor indicado de la siguiente clave del registro de Windows:
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
Valor: "Start" = "4"

Añade al fichero %System%\drivers\etc\hosts las siguientes lineas de texto, para impedir el acceso a las direcciones indicadas, muchas de ellas pertenecientes a empresas antivirus:
Play with the best [- eliminado -] !!! thanks!!!
0.0.0.0 jiangmin.com
0.0.0.0 www.jiangmin.com
0.0.0.0 Update2.JiangMin.com
0.0.0.0 Update3.JiangMin.com
0.0.0.0 rising.com.cn
0.0.0.0 www.rising.com.cn
0.0.0.0 online.rising.com.cn
0.0.0.0 iduba.net
0.0.0.0 www.iduba.net
0.0.0.0 kingsoft.com
0.0.0.0 db.kingsoft.com
0.0.0.0 scan.kingsoft.com
0.0.0.0 kaspersky.com.cn
0.0.0.0 www.kaspersky.com.cn
0.0.0.0 symantec.com.cn
0.0.0.0 www.symantec.com.cn
0.0.0.0 www.symantec.com
0.0.0.0 securityresponse.symantec.com
0.0.0.0 symantec.com
0.0.0.0 www.sophos.com
0.0.0.0 sophos.com
0.0.0.0 www.mcafee.com
0.0.0.0 mcafee.com
0.0.0.0 liveupdate.symantecliveupdate.com
0.0.0.0 www.viruslist.com
0.0.0.0 viruslist.com
0.0.0.0 viruslist.com
0.0.0.0 f-secure.com
0.0.0.0 www.f-secure.com
0.0.0.0 kaspersky.com
0.0.0.0 kaspersky-labs.com
0.0.0.0 www.avp.com
0.0.0.0 www.kaspersky.com
0.0.0.0 avp.com
0.0.0.0 www.networkassociates.com
0.0.0.0 networkassociates.com
0.0.0.0 www.ca.com
0.0.0.0 ca.com
0.0.0.0 mast.mcafee.com
0.0.0.0 my-etrust.com
0.0.0.0 www.my-etrust.com
0.0.0.0 download.mcafee.com
0.0.0.0 dispatch.mcafee.com
0.0.0.0 secure.nai.com
0.0.0.0 nai.com
0.0.0.0 www.nai.com
0.0.0.0 update.symantec.com
0.0.0.0 updates.symantec.com
0.0.0.0 us.mcafee.com
0.0.0.0 liveupdate.symantec.com
0.0.0.0 customer.symantec.com
0.0.0.0 rads.mcafee.com
0.0.0.0 trendmicro.com
0.0.0.0 www.pandaguard.com
0.0.0.0 pandasoftware.com
0.0.0.0 www.pandasoftware.com
0.0.0.0 www.trendmicro.com
0.0.0.0 www.grisoft.com
0.0.0.0 www.microsoft.com
0.0.0.0 microsoft.com
0.0.0.0 www.virustotal.com
0.0.0.0 virustotal.com


Intenta detener la ejecución de los siguientes procesos, muchos de ellos relativos a antivirus y herramientas de seguridad:
A2HIJACKFREE.EXE
ADAM.EXE
AGTX0404.EXE
AGTX0411.EXE
AGTX0804.EXE
ALERTAST.EXE
ALESCAN.EXE
ALEUPDAT.EXE
ALUNOTIFY.EXE
ANTIVIRUS_UPDATE.EXE
APORTS.EXE
AUPDATE.EXE
BACKRAV.EXE
BLACKD.EXE
BLACKICE.EXE
BOTZOR.EXE
BRONSTAB.EXE
CCEMFLSV.EXE
CCENTER.EXE
CFGWIZ.EXE
CLEANUP.EXE
CMDAGENT.EXE
COOLBOT.EXE
CSM.EXE
CSSCAN.EXE
CVT.EXE
DEFWATCH.EXE
DWHWIZRD.EXE
EGHOST.EXE
EKSPLORASI.PIF
FINT2005.EXE
FRAMEWORKSERVICE.EXE
FRMINST.EXE
HELLMSN.SCR
HIJACKTHIS.EXE
HNETWIZ.EXE
HPMANAGER.EXE
IAMSTATS.EXE
ICESWORD.EXE
IDTEMPLATE.EXE
INBUILD.EXE
IPARMOR.EXE
ISSVC.EXE
JAVA.EXE
KATMAIN.EXE
KAV.EXE
KAV32.EXE
KAVDX.EXE
KAVLOG2.EXE
KAVPFW.EXE
KAVPFW.EXE
KAVSEND.EXE
KAVSTART.EXE
KAVSTART.EXE
KAVSVC.EXE
KILLBOX.EXE
KMAILMON.EXE
KNLPS.EXE
KNLSC13.EXE
KPFWSVC.EXE
KRECYCLE.EXE
KREGEX.EXE
KSHRMGR.EXE
KVCENTER.KXP
KVDETECH.EXE
KVDETECT.EXE
KVDISK.KXP
KVDOS.EXE
KVMONXP.KXP
KVOL.EXE
KVOLSELF.EXE
KVREPORT.KXP
KVSCAN.KXP
KVSRVXP.EXE
KVSTORY.KXP
KVSTUB.KXP
KVUPLOAD.EXE
KVWSC.EXE
KVXP.KXP
KWATCH.EXE
KWATCH9X.EXE
LANGSET.EXE
LDVPREG.EXE
LOGPARSER.EXE
LRSEND.EXE
LSETUP.EXE
LUALL.EXE
LUAWRAP.EXE
LUCOMSERVER.EXE
LUINIT.EXE
MAKEBOOT.EXE
MCAFFEAV.EXE
MCCONSOL.EXE
MCSCRIPT.EXE
MCSCRIPT_INUSE.EXE
MCUPDATE.EXE
MDAC.EXE
MOUSEBM.EXE
MOUSEMM.EXE
MOUSESYNC.EXE
MSAGENT.EXE
MSNMSGS.EXE
MSTASK.EXE
NAPRDMGR.EXE
NAVUSTUB.EXE
NDETECT.EXE
NVCHIP4.EXE
PATCH.EXE
PCCBROWS.EXE
PCCGUIDE.EXE
PCCLIENT.EXE
PCCLOG.EXE
PCCMAIN.EXE
PCCMDCOM.EXE
PCCSPYUI.EXE
PCCTLCOM.EXE
PCCTOOL.EXE
PCCVSCAN.EXE
PER.EXE
PFW.EXE
PHANTOM.EXE
PICX.EXE
PIREG.EXE
PM.EXE
PROCESSEXPLORER.EXE
RAV.EXE
RAVDOS.EXE
RAVHDBAK.EXE
RAVMON.EXE
RAVMOND.EXE
RAVPATCH.EXE
RAVSTORE.EXE
RAVSTUB.EXE
RAVTIMER.EXE
RAVXP.EXE
REALSCHED.EXE
REGCLEAN.EXE
REGGUIDE.EXE
REGSVR32.EXE
RESCUE.EXE
RFW.EXE
RFWMAIN.EXE
RFWSRV.EXE
RKDETECTOR.EXE
ROOTKITREVEALER.EXE
RSAGENT.EXE
RSCONFIG.EXE
RSSMS.EXE
RTVSCAN.EXE
RUNDLL32.EXE
SAVROAM.EXE
SCAN32.EXE
SCANBD.EXE
SCNCFG32.EXE
SCRIGZ.EXE
SERVCE.EXE
SETUPWIZ.EXE
SHCFG32.EXE
SHSTAT.EXE
SMARTDRV.EXE
SMARTUP.EXE
SMSS.EXE
SOUNDMAN.EXE
SYMANTECROOTINSTALLER.EXE
SYMCLNUP.EXE
SYSTEM.EXE
TASKGMR.EXE
TMNTSRV.EXE
TMOAGENT.EXE
TMPFW.EXE
TMPROXY.EXE
TRA.EXE
TRIALMSG.EXE
TROJANDETECTOR.EXE
TROJANWALL.EXE
TROJDIE.KXP
TSC.EXE
UNINSTALL.KXP
UPDATE.EXE
UPDATERUI.EXE
UPGRADE.EXE
VIRUSBOX.KXP
VPC32.EXE
VPDN_LU.EXE
VPTRAY.EXE
VSTSKMGR.EXE
WINHOST.EXE
WINLDR.EXE
WINTBP.EXE
WPA.EXE
WRITECAN.EXE
ZONEALARM.EXE
 
Nombres de Ficheros Adjuntos (virus que llegan por correo)
Skype for Windows 1.4.zip
Share Skype.zip
Skype-document.zip
readme.zip
Skype.zip
Skype-details.zip
Skype-info.zip
Skype-stuffs.zip
 
Asunto del mensaje (virus que llegan por correo)
Notice of account limitation.
Email Account Suspension.
Security measures.
Members Support.
Your Account is Suspended For Security Reasons.
Warning Message: Your services near to be closed.
Important Notification!
*DETECTED* Online User Violation.
Your Account is Suspended.
Skype for Windows 1.4 - Have you got the new Skype?
What is Skype?
Share Skype.
 

272

Vulnerabilidades / Una Invasión De Robots

« en: Martes 11 de Octubre de 2005, 01:34 »

Información extraida de Noticias.com
Imagine un ejército compuesto por cientos de miles de robots a la espera de las maquiavélicas órdenes de un criminal; peor aun, imagine que estos robots luzcan absolutamente inofensivos o que ni siquiera sepan que forman parte del ejército malhechor, hasta que el “líder invisible” dé la orden, activando una programación latente que los obligue a llevar a cabo órdenes de destrucción contra objetivos públicos. Esto, que pareciera el argumento de una película hollywoodense, es una realidad que ya se encuentra entre nosotros, son las llamadas Botnets.

La palabra “Botnet” proviene de la unión de dos palabras del idioma americano: “Bot”, versión abreviada de la palabra Robot, y “Net”, que significa red. Por lo tanto, una Botnet es una red compuesta por robots. Computadores que han sido comprometidos por un código malicioso que ha sido instalado, y son todos controlados, como robots, por un hacker.

Estas redes controladas por hackers, constituyen la mayor amenaza actual en Internet!! Son la mayor amenaza debido a que pueden atacar coordinadamente cualquier dirección IP y hacerla colapsar con ataques distribuidos de negación de servicio (DDoS). Además, pueden servir para difundir correo spam, e incluso pueden ser usados como centros de distribución de malware. Una vez que son ejecutados, estos ataques pueden ser devastadores y ocasionar consecuencias traumáticas

Las Botnets son el arma favorita de los hackers, programadores de virus, e incluso de miembros del crimen organizado debido al poder que les otorgan. En su naturaleza son muy similares a un troyano en el sentido que se hacen pasar por programas válidos para que sean instalados en equipos víctimas, y pueden permitir que el atacante tenga absoluto control sobre el equipo. Y lo peor del caso, es que no es necesario tener un amplio conocimiento informático para poder desarrollar y controlar uno de estos “ejércitos”: con conocimientos rudimentarios y los kits disponibles en Internet, fácilmente se puede desarrollar su propia variante.

Historia de las Botnets

Inicialmente –como todo en la vida—las Botnets no fueron creadas para hacer ataques coordinados. El objetivo inicial de los Bots, como se conocían a principios de los años noventa, era el de preservar nombres de usuario favoritos en los canales de chat IRC: si mi nombre favorito era “ESA0101”, al finalizar mi sesión activaba mi Bot, el cual tomaría mi nombre y permanecería conectado al IRC, preservando mi nombre favorito y evitando que cualquier otro usuario pudiera tomarlo mientras yo permanecía desconectado. Sin embargo, aún en esta época se empezaban a evidenciar las posibilidades de los Bots para otros fines. Mientras usuarios utilizaban los Bots para preservar sus nombres de usuario, otros lo utilizaban para saturar los canales de chat, y así evitar que los usuarios pudieran conectarse…

Para el año 2000 los Bots ya eran mucho más sofisticados. “Trino”, “Shaft” y “Statcheldraft” eran herramientas usadas para crear ataques de DDoS en contra de hosts de IRC. Gran parte del código no era automático y requería constantes actualizaciones. Sin embargo, ya no se podía negar su efectividad: estas herramientas fueron utilizadas durante ese año para colapsar las páginas de Yahoo!, e-Bay, CNN y Amazon.com.

Para el año 2002 la automatización de los Bots fue alcanzada por medio de la integración con otros tipos de ataque, principalmente los gusanos y troyanos. Esta integración permitía que los Bots pudieran comprometer gran cantidad de computadores en un tiempo menor. Adicionalmente, se continuó usando IRC como medio de comunicación y coordinación de los ataques.

Actualmente, los Bots son amenazas múltiples, que combinan aspectos del spyware, spam, malware y DDoS, y son distribuidos por virus y gusanos. Miles de computadores pueden ser rápidamente infectados, formando redes de Bots (Botnets) que si no son detectados a tiempo, las consecuencias pueden ser devastadoras.

Un ataque en dos frentes

Las compañías deben estar alertas, ya que sus activos se ven amenazados en dos frentes: 1) los atacantes intentan tomar control de los computadores de la red para utilizarlos como parte de ataques coordinados (lo que representa una brecha en la integridad de la red); o 2) los activos de la organización pueden ser el objetivo de un ataque coordinado de DDoS. Es por ello que los responsables de la Seguridad de Información deben prepararse para ambos tipos de ataque. Y para poder prepararse, es necesario entender cómo funcionan.

En la mayoría de los casos, los Bots implantados se aprovechan de vulnerabilidades en los sistemas operativos para distribuirse. Incluso se han detectado casos donde el Bot aprovecha una vulnerabilidad en el sistema, se instala, y después aplica las actualizaciones necesarias para corregir dicha vulnerabilidad, para que el computador parezca que no es vulnerable al Bot. Una vez infectado, lo primero que debe hacer un computador es reportarse con el hacker creador


----------Funcionamiento de la Botnet----------

Debido a que los Bots utilizan IRC para comunicarse, generalmente se establece un enlace de comunicaciones TCP por el puerto 6667, el puerto IRC por defecto. Esta comunicación es necesaria ya que por esta vía el hacker ejecutará las instrucciones necesarias para llevar a cabo su ataque.

Cuando se ha establecido la comunicación con el hacker, el computador permanecerá inactivo hasta que el hacker ejecute las instrucciones necesarias. El resultado de estas instrucciones variará enormemente dependiendo del tipo de ataque que el hacker tenga en mente: pudiera ser un DDoS, haciendo peticiones legítimas contra un objetivo determinado, y eventualmente colapsándolo.

Como se ha mencionado, las Botnets pudieran ser utilizados como medio de distribución de malware, y se dice que son ideales para esta función, ya que permiten que un malware, tal como un virus, pueda ser distribuido simultáneamente por miles de equipos, dándole una ventana de acción muy corta a las compañías antivirus para liberar actualizaciones.

Finalmente, podría ser utilizado para distribuir correos SPAM y de phishing. Esto hace casi imposible la detección del atacante original, ya que el mismo no forma parte de la Botnet. Actualmente, más del 70% de todo el correo SPAM es originado por Botnets.

Debido a que nuevas Bots aparecen constantemente, se hace imposible mantenerse protegido de cada nueva variante, es por ello que la clave es mantener una protección preventiva, no sin olvidar las acciones estratégicas: se deben desarrollar e implantar políticas y procedimientos en la organización en referencia a la detección proactiva de vulnerabilidades, la administración de actualizaciones, uso apropiado de firewalls y VPNs y campañas de educación del usuario. Adicionalmente, se debe contar con un apropiado equipo de respuesta a incidentes, el cual pueda detectar que los equipos de la red han sido comprometidos y pueda devolverlos a un estado seguro.