W32/Lovsan.F (Blaster). Utiliza "enbiei.exe"

VSantivirus No. 1152 Año 7, Martes 2 de setiembre de 2003

W32/Lovsan.F (Blaster). Utiliza "enbiei.exe"
http://www.vsantivirus.com/lovsan-f.htm

Nombre: W32/Lovsan.F (Blaster)
Tipo: Gusano de Internet
Alias: WORM_MSBLAST.F, W32/Lovsan.worm.f, Worm.Win32.Lovesan, W32/Msblast.F, W32/Blaster-F, W32/Lovsan.worm.f, Win32.Poza.F, Win32/Lovsan.F, MSBlast, Exploit-DcomRpc (variant), W32.Blaster.Worm
Fecha: 1/set/03
Plataforma: Windows 2000, XP, NT
Reportado por: varios
Tamaño: 11,808 bytes (UPX, ASPack)

Esta variante es idéntica a la versión A, salvo en los siguientes puntos:

1. El nombre del ejecutable:

enbiei.exe

2. La entrada en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
www.hidro.4t.com = enbiei.exe

3. Está comprimido dos veces, con las herramientas ASPack y UPX.

4. Contiene el siguiente texto en rumano, en su código:

Nu datzi la fuckultatea de Hidrotehnica!!!
Pierdetzi timp ul degeaba...Birsan te cheama
pensia!!!Ma pis pe diploma!!!!!!

5. El ataque DDoS (que en las versiones anteriores era al sitio de actualizaciones de Microsoft), ha sido cambiado a "tuiasi.ro". Dicho sitio no responde actualmente, y por su extensión es de origen rumano.

6. Utiliza un mutex (semáforo indicador), llamado MUUIE.

Los demás detalles del gusano son idénticos a la versión A, y se dan en el siguiente enlace (incluidas las instrucciones para eliminarlo manualmente):

Más información:

W32/Lovsan.A (Blaster). Utiliza la falla en RPC
http://www.vsantivirus.com/lovsan-a.htm