Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans

Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

Controlado desde el
19/10/97 por NedStat

W32/Kwbot.C. Gusano y troyano, usa KaZaa e iMesh
 
VSantivirus No. 953 - Año 7 - Sábado 15 de febrero de 2003

W32/Kwbot.C. Gusano y troyano, usa KaZaa e iMesh
http://www.vsantivirus.com/kwbot-c.htm

Nombre: W32/Kwbot.C
Tipo: Gusano de Internet y caballo de Troya de acceso remoto
Alias: KWBOT.C, W32.Kwbot.C.Worm, W32.Kwbot.Worm, W32.KWBOT.WORM, WORM_KWBOT.C, Trojan.Win32.Pac, Pac
Tamaño: 553,600 bytes
Fecha: 13/feb/03
Plataforma: Windows 32-bits

Este gusano utiliza los populares programas de intercambio de archivos entre usuarios, KaZaa e iMesh, para propagarse. Genera además un troyano de acceso remoto que se conecta a través del IRC, y que permite que un atacante tome el control de la máquina infectada.

Programado en C, el ejecutable está comprimido y encriptado, y utiliza también técnicas de protección para dificultar su detección.

Cuando se ejecuta por primera vez, el virus se copia a si mismo como "System32.exe" en el directorio System de Windows:

C:\Windows\System\System32.exe

Luego, modifica el registro para poder ejecutarse con cada nuevo reinicio del sistema operativo:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SystemSAS = system32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
SystemSAS = system32.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
SystemSAS = system32.exe

También crea la clave "Krypton" en la siguiente rama del registro:

HKEY_Local_Machine\Software\krypton


Crea la siguiente carpeta:

C:\Windows\UserTemp

Allí se copia a si mismo más de 100 veces, con diferentes nombres de una lista incluida en su propio código. Los atributos de todos los archivos creados, marcan que están como "ocultos" (+H). Los archivos creados cambian su tamaño para simular ser más grandes la mayoría de los casos (para simular ser el paquete de software por el que intenta hacerse pasar). El verdadero tamaño del troyano son 553,600 bytes.

Se utilizan nombres de conocidos programas y aplicaciones multimedia. Esta es parte de una lista ejemplo:

ACDSee 5.5.exe
Ad-aware 6.5.exe
Age of Empires 2 crack.exe
Animated Screen 7.0b.exe
Anno 1503_crack.exe
AOL Instant Messenger.exe
AquaNox2 Crack.exe
Audiograbber 2.05.exe
BabeFest 2003 ScreenSaver 1.5.exe
Babylon 3.50b reg_crack.exe
Battlefield1942_bloodpatch.exe
Battlefield1942_keygen.exe
Business Card Designer Plus 7.9.exe
C&C Generals_crack.exe
C&C Renegade_crack.exe
Clone CD 5.0.0.3 (crack).exe
Clone CD 5.0.0.3.exe
Coffee Cup Free HTML 7.0b.exe
Cool Edit Pro v2.55.exe
Diablo 2 Crack.exe
DirectDVD 5.0.exe
DirectX Buster (all versions).exe
DirectX InfoTool.exe
DivX Video Bundle 6.5.exe
Download Accelerator Plus 6.1.exe
DVD Copy Plus v5.0.exe
DVD Region-Free 2.3.exe
FIFA2003 crack.exe
Final Fantasy VII XP Patch 1.5.exe
Flash MX crack (trial).exe
FlashGet 1.5.exe
FreeRAM XP Pro 1.9.exe
GetRight 5.0a.exe
Global DiVX Player 3.0.exe
Gothic 2 licence.exe
GTA 3 Crack.exe
GTA 3 patch (no cd).exe
Guitar Chords Library 5.5.exe
Hitman_2_no_cd_crack.exe
Hot Babes XXX Screen Saver.exe
ICQ Lite (new).exe
ICQ Pro 2003a.exe
ICQ Pro 2003b (new beta).exe
iMesh 3.6.exe
iMesh 3.7b (beta).exe
IrfanView 4.5.exe
KaZaA Hack 2.5.0.exe
KaZaA Lite (New).exe
KaZaA Speedup 3.6.exe
Links 2003 Golf game (crack).exe
Living Waterfalls 1.3.exe
Mafia_crack.exe
Matrix Screensaver 1.5.exe
MediaPlayer Update.exe
mIRC 6.40.exe
mp3Trim PRO 2.5.exe
MSN Messenger 5.2.exe
NBA2003_crack.exe
Need 4 Speed crack.exe
Nero Burning ROM crack.exe
Netfast 1.8.exe
Network Cable e ADSL Speed 2.0.5.exe
Neverwinter_Nights_licence.exe
NHL 2003 crack.exe
Nimo CodecPack (new) 8.0.exe
PalTalk 5.01b.exe
Popup Defender 6.5.exe
Pop-Up Stopper 3.5.exe
QuickTime_Pro_Crack.exe
Serials 2003 v.8.0 Full.exe
SmartFTP 2.0.0.exe
SmartRipper v2.7.exe
Space Invaders 1978.exe
Splinter_Cell_Crack.exe
Steinberg_WaveLab_5_crack.exe
Trillian 0.85 (free).exe
TweakAll 3.8.exe
Unreal2_bloodpatch.exe
Unreal2_crack.exe
UT2003_bloodpatch.exe
UT2003_keygen.exe
UT2003_no cd (crack).exe
UT2003_patch.exe
WarCraft_3_crack.exe
Winamp 3.8.exe
WindowBlinds 4.0.exe
WinOnCD 4 PE_crack.exe
WinZip 9.0b.exe
Yahoo Messenger 6.0.exe
Zelda Classic 2.00.exe

Luego, para propagarse a través de los programas de intercambio de archivos entre usuarios (KaZaa e iMesh), el troyano cambia el contenido de las siguientes claves del registro:

HKEY_Current_User\Software\Kazaa\LocalContent
DisableSharing = 0
dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp
[etc.]

HKEY_Current_User\Software\iMesh\Client\LocalContent
DisableSharing = 0
dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp
[etc.]

Esto hace que los usuarios descarguen archivos con KaZaa e iMesh, desde la carpeta "\Windows\UserTemp". KaZaa o iMesh deben estar instalados para que el gusano pueda propagarse.

Luego, el gusano abre dos puertos TCP y UDP al azar para conectarse con el atacante.

Queda entonces a la espera de comandos, utilizando su propio canal de IRC. No es necesario que exista un cliente de IRC en la máquina infectada.

Los comandos recibidos permiten al atacante remoto realizar cualquiera de las siguientes acciones (se requiere autentificación por contraseña):

  1. Actualizar el virus descargándose una nueva versión
  2. Enviar información acerca del equipo infectado (la velocidad de la CPU, memoria, sistema operativo, tipo de conexión a Internet, la IP local etc....)
  3. Enviar información acerca de los programas instalados
  4. Ejecutar comandos específicos de IRC, incluyendo ataques de otros usuarios en el servidor de chat.
  5. Controlar el cliente IRC implementado en el propio gusano.
  6. Enviar el troyano a través de otros canales de IRC, infectando a otros usuarios.
  7. Descargar y ejecutar cualquier otra clase de archivos, incluso virus.
  8. Realizar ataques de denegación de servicio (D.o.S) a un blanco seleccionado por el atacante.
  9. Desinstalarse a si mismo del sistema infectado.


Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este programa, hasta haber quitado el gusano del sistema, para prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: "Tools" > "Options".

3. Deshabilite las carpetas compartidas (Shared Kazaa folders) bajo la lengüeta "Traffic".

4. Pinche en "Aceptar", etc.


Deshabilitar las carpetas compartidas en iMesh

1. Ejecute iMesh

2. Seleccione "Options" del menú "Preferences".

3. En la ventana de "Category" seleccione "Share" y desmarque la casilla "Allow other users to view my shared files option".

4. Seleccione el menú "Media Manager" y busque en la lista de carpetas, todas las que tengan una casilla grisácea a la derecha del nombre. Márquelas para que dejen de estar grisáceas, y luego desmárquela para que quede en blanco. Repítalo con todas las carpetas y subcarpetas que allí encuentre.

5. Pinche en "Aceptar", etc.


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Con el Explorador de Windows, borre los siguientes archivos (si aparecen):

C:\Windows\System\System32.exe
C:\Windows\UserTemp\  [borre la carpeta "UserTemp"]

5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

7. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:

SystemSAS

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

9. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

SystemSAS

10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\krypton

11. Pinche en la carpeta "krypton" y bórrela.

12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

13. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp

14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\iMesh
\Client
\LocalContent

15. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp

16. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

19/feb/03 - Alias: Trojan.Win32.Pac, Pac



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2003 Video Soft BBS