VSantivirus No. 721 - Año 6 - Viernes 28 de junio de 2002
W32/Kwbot.B. Gusano y troyano que utiliza el KaZaa
http://www.vsantivirus.com/kwbot-b.htm
Nombre: W32/Kwbot.B
Tipo: Gusano de Internet y caballo de Troya de acceso remoto
Alias: Backdoor.K0wbot.1.2 / 1.3.A / 1.3.B, W32.Kwbot.Worm,
WORM_KWBOT.B
Tamaño: 19 Kb aprox.
Fecha: 17/jun/02, 26/jun/02
Fuente: BitDefender, Symantec
Este gusano utiliza el popular programa de intercambio de archivos entre usuarios, KaZaa, para propagarse. Genera además un troyano de acceso remoto que se conecta a través del IRC, y que permite que un atacante tome el control de la máquina infectada.
Programado en C, el ejecutable está comprimido y encriptado, y utiliza también técnicas de protección para dificultar su detección.
Cuando se ejecuta por primera vez, el virus se copia a si mismo como
explorer32.exe en el directorio System de Windows y luego modifica el registro para poder ejecutarse con cada nuevo reinicio del sistema operativo:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
explorer32 = C:\Windows\System\explorer32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
explorer32 = C:\Windows\System\explorer32.exe
Se genera el archivo temporal C:\MOO.REG, el cuál utiliza para modificar el registro que activa los archivos compartidos por el KaZaa con otros usuarios conectados:
HKEY_CURRENT_USER\Software\Kazaa\LocalContent
DisableSharing = 0
Se crean luego aproximadamente 150 copias del propio virus en la carpeta compartida de dicho programa, utilizando nombres de conocidos programas y aplicaciones multimedia, todos ellos de 19 Kb. Esta es parte de una lista ejemplo:
Star Wars Episode 2 - Attack of the Clones VCD CD2.exe
Spiderman SVCD CD3.exe
Sum of all Fears SVCD CD3.exe
Grand Theft Auto 3 CD2 ISO.exe
Playstation 2 PS2 Emulator.exe
Windows XP Home to Professional Upgrade.exe
Windows XP backdoor hack.exe
Windows 2000 win2k password stealer.exe
Microsoft Office XP Upgrade (from older versions).exe
Macromedia Flash 5 Ultimate Study Guide.exe
Norton Internet Security 2002.exe
ZoneAlarm Firewall Pro.exe
Warcraft 3 Keygen.exe
Warez locator (finds and verifies).exe
Warrior Kings iso.exe
WinACE with crack.exe
Winamp 3.0 beta.exe
Windows 2000 win2k Bacdoor hack.exe
Windows 98 hacker.exe
Windows XP Professional iso.exe
WinRAR with crack.exe
Winzip Key Generator (cCore).exe
La forma de propagarse es a través de la descarga de estos archivos por parte de otros usuarios a través del KaZaa.
El componente backdoor se conecta con servidores IRC (Internet Relay Chat), habilitando a un atacante el control remoto del equipo infectado (se requiere autentificación por contraseña).
Estas son algunas de las acciones disponibles:
- Actualizar el virus descargándose una nueva versión
- Enviar información acerca del equipo infectado (la velocidad de la CPU, memoria, sistema operativo, tipo de conexión a Internet, la IP local etc....)
- Enviar información acerca de los programas instalados (enviando el archivo c:\moo.txt que incluye los nombres de los programas instalados en Archivos de programa)
- Ejecutar comandos específicos de IRC, incluyendo ataques de otros usuarios en el servidor de chat.
- Controlar el cliente IRC implementado en el propio gusano.
- Enviar el troyano a través de otros canales de IRC, infectando a otros usuarios.
- Descargar y ejecutar cualquier otra clase de archivos, incluso virus.
- Realizar ataques de denegación de servicio (D.o.S) a un blanco seleccionado por el atacante.
- Desinstalarse a si mismo del sistema infectado.
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados por el virus
4. Con el Explorador de Windows, borre los siguientes archivos (si aparecen):
C:\Windows\System\explorer32.exe
C:\moo.reg
C:\moo.txt
C:\Archivos de programa\KaZaA\My Shared Folder\[archivos infectados]
5. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
7. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:
explorer32
8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
9. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
explorer32
10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
11. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:
explorer32
12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent
13. Pinche en la carpeta "LocalContent" y en el panel de la derecha busque y modifique el valor
'DisableSharing' de 0 a 1.
14. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
15. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Modificaciones:
04/ago/02 - Alias: WORM_KWBOT.B
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
