WORM / GUSANO INFORMÁTICO |
|||||
|
|||||
Bugbear.B
Info Virus
Enciclopedia
Noticias
Virus Klez
Virus Bagle
publicidad |
Elimina Virus |
.jpg) |
| Ver Catálogo |
Elimina Spyware |
 |
| Ver Catálogo |
Recupera Archivos |
 |
| Ver Catálogo |
Defragmenta Discos |
 |
| Ver Catálogo |
|
Alias: W32/Bugbear.B@mm, W32/Kijmo.A, I-Worm.Tanatos.B, Win32.Bugbear.B Aparecido
el día 5 de junio de 2003, Bugbear.B se difunde en un archivo
PE de Windows comprimido con la herramienta UPX de 72192 bytes
y encriptado con un sencillo algoritmo que cambia en cada
versión que se difunde del gusano. El
gusano puede también lanzar su archivo a la carpeta de
Arranque bajo un nombre aleatorio o como SETUP.EXE, de modo
que se activará en el siguiente arranque del sistema.
Adicionalmente, el gusano lanza un componente "captura
pulsaciones" en el directorio del sistema de nombre
aleatorio y extensión DLL. El nombre puede ser MGLKCKK.DLL,
por ejemplo. También crea dos archivos adicionales en la
carpeta del sistema donde guarda sus datos de forma encriptada. Difusión
a través de e-mail
Utilizando
su propio mecanismo SMTP, Bugbear.B se envia a todas las
direcciones de correo almacenadas dentro de los archivos de
extensión: .ODS Algunos
de éstos son bases de datos de e-mails y contienen un número
importante de direcciones. Sin embargo, está programado para
evitar la difusión a los correos electrónicos que contengan
alguna de las siguientes cadenas de texto: remove El
asunto de un mensaje infectado se extrae de archivos
almacenados en la víctima y seleccionados al azar, o bien, se
extrae de la siguiente lista: Greets! El
cuerpo del mensaje puede llegar vacío o puede contener un
texto seleccionado también al azar de los archivos
almacenados en el PC infectado. El cuerpo además puede
contener un exploit para ejecutar el archivo adjunto que
contiene el virus de manera automática. Esta vulnerabilidad,
ampliamente empleada por los virus para su difusión, puede
solventarse con el parche proporcionado por Windows desde la página
web: http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp
En cuanto al archivo adjunto como anteriormente citábamos puede tener el nombre de SETUP.EXE o una de las siguientes cadenas: readme exe Extensiones
que chequea el gusano: reg
image/gif Difusión
a través de redes locales Bugbear.B
tiene la capacidad de infectar equipos remotos pertenecientes
a redes locales. El gusano espera algún tiempo antes de
comenzar su ciclo de infección y luego enumera los recursos
compartidos, a continuación, conecta con ellos e intenta
infectar los siguientes archivos dentro de las carpetas de
Windows y Archivos de Programa localizadas en los sistemas
remotos: Por
otra parte, el gusano intenta localizar la carpeta común de
arranque sobre estos equipos con el fin de copiarse en ellas
bajo el archivo de nombre SETUP.EXE o con un nombre al azar y
extensión
.EXE. Como resultado, estos equipos llegarán a infectarse
bien después de su reinicio o después de que un usuario
ejecute un archivo infectado. Interrupción
de Procesos Bugbear.B
interrumpe los procesos de ciertos programas de seguridad y
anti-virus, entre otros. Cada 20 segundos el gusano revisa los
procesos en curso relativos a la siguiente lista de archivos
con el fin de inactivarlos. _AVP32.EXE El
gusano tiene procesos de interrupción independientes para
sistemas basados en Windows 9x y Windows NT. Ataque
a sistemas bancarios Bugbear.B
contiene un extenso listado de dominios pertenecientes a
bancos de todo el mundo. El gusano, una vez en acción,
compara el nombre de dominio del equipo infectado con esta
lista y si coincide, el virus puede activar la utilidad
AutoDial del PC atacado modificando la siguiente entrada de
registro: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet
Settings] "EnableAutodial"=dword:00000001 El
fin de esta entrada es mantener siempre en línea las
estaciones de trabajo de los bancos siempre en línea, de modo
que el backdoor pueda ser accesible en todo momento por un
atacante al que le sería más fácil usar un capturador de
teclas u otras utilidades backdoor para robar información
confidencial de los sistemas, lo que hace que los equipos de
los bancos sean más vulnerables que otros PCs infectados. La
lista de dominios de banca que el gusano incluye bancos de
diferentes países del mundo: Francia, Reino Unido, Alemania,
Australis, Italia, Grecia, Dinamarca, Nueva Zelanda, España,
Brasil, Rumanía, Polonia, Argentina, Suiza, Finlandia, Taiwan,
Turquia, Islandia, Eslovaquia, Corea, USA, Sudáfrica, República
Báltica, Austria, Hungría, Noruega, República Checa, etc... Otros
efectos De
acuerdo con algunos informes, las impresoras de red comienzan
a imprimir basura cuando Bugbear.B se difunde a través de una
red, lo que podría considerarse un efecto colateral de un
posible ataque a la red. Componente
backdoor El
gusano tiene un componente backdoor similar al empleado por la
versión anterior de Bugbear, que abre
el puerto 1080 y queda a la "escucha" de posibles
comandos de un usuario remoto. Un
hacker puede conectarse al backdoor y efectuar alguna de las
siguientes acciones: -
obtener información del equipo infectado También, a diferencia de la versión anterior, el backdoor de Bugbear.B no emplea un sistema de autenticación segura, de modo que puede ser utilizado por diferentes hackers y no sólo por el autor del código. |
