|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Bezilom. Complejo gusano liberado por un "dropper" | ||
|---|---|---|
VSantivirus No. 596 - Año 6 - Sábado 23 de febrero de 2002 W32/Bezilom. Complejo gusano liberado por un "dropper" http://www.vsantivirus.com/bezilom.htm Nombre: W32/Bezilom Tipo: Gusano Alias: W32/Bezilom.worm, W32/Bezilom-A Fecha: 21/feb/02 Tamaño: 143,360 bytes (dropper) Fuentes: Sophos, McAfee El gusano, escrito en Visual Basic 6, simula ser un ejecutable con el icono de un archivo de imágenes (JPEG). Es un "dropper", que libera los dos componentes del verdadero gusano. El dropper consta de tres archivos a saber: a. Una imagen JPG con contenido pornográfico que se visualiza al ejecutar el dropper, y mientras eso sucede, se crean los siguientes archivos, que son el gusano en si mismo: b. MARIA.DOC [gran cantidad de espacios] .EXE Este es un troyano que simula una infección. Note la doble extensión (en realidad no es un .DOC, sino un ejecutable .EXE), separados lo suficiente como para que el usuario no vea la verdadera terminación, suponiendo tenga configurado Windows para no ocultar las extensiones de los archivos ejecutables más utilizados). c. MACROSOFTBT.EXE Este último dice ser una utilidad antivirus. Cuando el usuario pretende abrir para leer el archivo MARIA.DOC, en realidad ejecuta MARIA.DOC [espacios] .EXE. También se ejecutará por si solo en los próximos reinicios de Windows. Cuando ese archivo se ejecuta, el mismo se copia en el directorio raíz de Windows con un nombre al azar y el atributo de oculto (+H). También se copia a %Windir% (C:\Windows\MARIA.DOC [espacios] .EXE), y si existe un disquete desprotegido, intenta copiarse en él. El gusano sobrescribe el contenido del archivo C:\AUTOEXEC.BAT, con una sola instrucción:
Este proceso se reitera para cada reinicio de Windows, resultando en una gran acumulación de copias del gusano.
Cuando el segundo componente se ejecuta, se crea un directorio con atributo de oculto, y de nombre MacrosoftBL. La siguiente clave del registro es creada para que el falso antivirus se ejecute automáticamente al inicio:
Según lo visto, en cada reinicio, ambos componentes del gusano quedan activos en memoria. Después de una determinada cantidad de reinicios (tres en las pruebas),
MARIA.DOC [espacios] .EXE causa que todas las ventanas queden ocultas (a excepción de la ventana
"MacrosoftBL windows").
Siguiendo los pasos de registración, un formulario de registro es mostrado al usuario (Payment instructions).
Luego, en la lengüeta "Ver", DESMARQUE la opción
"Ocultar extensiones para los tipos de archivos
conocidos" o similar. También MARQUE la opción
"Mostrar todos los archivos y carpetas ocultos" o similar.
Borre también todos estos archivos:
3. Seleccione Inicio, Ejecutar, teclee REGEDIT y pulse Enter
5. Pinche sobre la carpeta "Run". En el panel de la derecha pinche y borre las siguientes entradas:
6. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:
7. Pinche sobre la carpeta "Start". En el panel de la derecha pinche y borre las siguientes entradas (RegRes1 y REGWord):
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios. |
||
