W32/Lovsan.G (Blaster). Utiliza "enilora.exe"

VSantivirus No. 1166 Año 7, Martes 16 de setiembre de 2003

W32/Lovsan.G (Blaster). Utiliza "enilora.exe"
http://www.vsantivirus.com/lovsan-g.htm

Nombre: W32/Lovsan.G (Blaster)
Tipo: Gusano de Internet
Alias: WORM_MSBLAST.G, W32/Lovsan.worm.g, Worm.Win32.Lovesan, W32/Msblast.G, W32/Blaster-G, W32/Lovsan.worm.g, Win32.Poza.G, Win32/Lovsan.G, MSBlast, Exploit-DcomRpc (variant), W32.Blaster.Worm
Fecha: 15/set/03
Plataforma: Windows 2000, XP, NT
Reportado por: varios
Tamaño: 6,208 bytes (UPX)

Esta variante es idéntica a la versión A, salvo en los siguientes puntos:

1. El nombre del ejecutable:

enilora.exe

2. La entrada en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
windows auto update = enilora.exe

3. Está comprimido con la herramienta UPX.

4. Contiene el siguiente texto en su código:

This is just another LovSan! TEST
This is a very nice test to do, just changing
a virus a little bit to test my AV soft

5. El ataque DDoS es al sitio de actualizaciones de Microsoft.

6. Utiliza un mutex (semáforo indicador), llamado BILLY.

Los demás detalles del gusano son idénticos a la versión A, y se dan en el siguiente enlace (incluidas las instrucciones para eliminarlo manualmente):

Más información:

W32/Lovsan.A (Blaster). Utiliza la falla en RPC
http://www.vsantivirus.com/lovsan-a.htm