| |
VSantivirus No. 713 - Año 6 - Jueves 20 de junio de 2002
W32/Kwbot. Se propaga a través del KaZaa
http://www.vsantivirus.com/kwbot.htm
Nombre: W32/Kwbot
Tipo: Gusano de Internet y Caballo de Troya
Alias: W32.Kwbot.Worm, WORM_KWBOT.A, KWBOT.A, W32.KWBOT.WORM
Fecha: 18/jun/02
Tamaño: 19,600 bytes
Fuente: Symantec
Este gusano, además de propagarse a través del correo electrónico, tiene características de caballo de Troya de acceso remoto, lo que puede permitir tomar el control de la máquina infectada, comprometiendo su seguridad.
También puede actualizarse a si mismo, examinado la existencia de nuevas versiones en Internet.
Se disfraza como un archivo de algún popular juego, utilidad o incluso película, intentando propagarse a través del KaZaa, el popular programa de intercambio de archivos entre usuarios, copiándose en la carpeta compartida de este programa.
Si el usuario abre el archivo, el gusano realiza las siguientes acciones:
1. Se copia a si mismo en la carpeta System de Windows (el nombre de esta carpeta puede variar según la versión de Windows,
C:\Windows\System, C\Winnt\System32, etc.):
C:\Windows\System\Explorer32.exe
2. Modifica las siguientes claves del registro, para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows Explorer Update Build 1142 = C:\Windows\System\Explorer32.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Windows Explorer Update Build 1142 = C:\Windows\System\Explorer32.exe
3. Abre un puerto TCP seleccionado al azar, y se pone a la escucha por él. Esto permite a un atacante realizar acciones de control remoto en la PC infectada.
El gusano contiene su propio cliente de IRC (Internet Relay Chat), con el cuál se conecta a un determinado servidor especificado en su código. Esto avisa al atacante la existencia de la máquina infectada, y permite el ingreso de comandos, utilizando una clave de autorización previamente seleccionada.
Las acciones disponibles del troyano hasta la fecha son:
- Controlar la instalación del backdoor.
- Controlar el cliente IRC implementado en el propio gusano.
- Actualizar en forma dinámica la versión del troyano instalado.
- Enviar el troyano a través de otros canales de IRC, infectando a otros usuarios.
- Descargar y ejecutar cualquier otra clase de archivos, incluso virus.
- Envío de información crítica sobre el sistema infectado al atacante.
- Realizar ataques de denegación de servicio (D.o.S) a un blanco seleccionado por el atacante.
- Desinstalarse a si mismo del sistema infectado.
Para propagarse necesita que el software KaZaa esté instalado en la máquina infectada.
El gusano examina el registro de Windows para localizar la carpeta compartida de ese software. Otros usuarios del KaZaa pueden descargar los archivos allí encontrados.
El gusano se copia a si mismo en dicha carpeta, pero utilizando una gran cantidad de nombres diferentes, seleccionados al azar de una lista creada en su propio código.
Algunos ejemplos:
Star Wars Episode 2 - Attack of the Clones VCD CD2.exe
Spiderman SVCD CD3.exe
Sum of all Fears SVCD CD3.exe
Grand Theft Auto 3 CD2 ISO.exe
Playstation 2 PS2 Emulator.exe
Windows XP Home to Professional Upgrade.exe
Windows XP backdoor hack.exe
Windows 2000 win2k password stealer.exe
Microsoft Office XP Upgrade (from older versions).exe
Macromedia Flash 5 Ultimate Study Guide.exe
Norton Internet Security 2002.exe
ZoneAlarm Firewall Pro.exe
Recomendamos utilizar un programa tipo firewall (o cortafuego) como el ZoneAlarm, gratuito para uso personal, que detendrá y advertirá la conexión del troyano con Internet.
VSantivirus No. 117 - 2/nov/00
Zone Alarm - El botón rojo que desconecta su PC de la red
http://www.vsantivirus.com/za.htm
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados
4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
5 En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
Windows Explorer Update Build 1142
7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
8. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:
Windows Explorer Update Build 1142
9. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
10. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Modificaciones:
04/ago/02 - Alias: WORM_KWBOT.A, KWBOT.A, W32.KWBOT.WORM
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
