|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| IRC/Smallfeg. Troyano de acceso remoto a través del IRC | ||
|---|---|---|
VSantivirus No. 582 - Año 6 - Sábado 9 de febrero de 2002 IRC/Smallfeg. Troyano de acceso remoto a través del IRC http://www.vsantivirus.com/smallfeg.htm Nombre: IRC/Smallfeg Tipo: Caballo de Troya de acceso remoto (IRC) Alias: Irc-Smallfeg, TROJ/Smallfeg.IRC Plataforma: Windows NT, 2000 y posiblemente XP Fecha: 7/feb/02 Tamaño: 44,032 bytes (19,968 bytes el servidor) Fuente: Network Associates Se le llama "DROPPER" (cuentagotas), a todo archivo que cuando se ejecuta "gotea" o libera un virus. Un archivo "dropper" tiene la capacidad de crear un virus e infectar el sistema del usuario al ejecutarse. Cuando un "dropper" es escaneado por un antivirus, generalmente no se detectará un virus, porque el código viral no ha sido creado todavía. El virus se crea en el momento que se ejecuta el "dropper". El troyano Smallfeg puede llegar a nuestro sistema dentro de un "dropper", siendo el que se ha reportado, un archivo que simula optimizar la performance de nuestro módem: ModemSpeedEnhancer.Exe de 44,032 bytes. Cuando se ejecuta en una máquina corriendo Windows NT o 2000 (y posiblemente XP), el dropper crea la carpeta %WINDIR%\CACHE (C:\WinNT\CACHE por ej.). Luego libera allí al archivo SVCHOST.EXE, y luego lo ejecuta como un proceso de Windows. SVCHOST.EXE es el servidor del troyano, de 19,968 bytes. Si en cambio se ejecuta bajo Windows 9x y Me, el dropper es totalmente inofensivo, ya que en ningún momento libera código alguno. Una vez el troyano se ejecuta como un proceso de Windows, se libera también el archivo JUPE.DLL en la misma carpeta \CACHE de 52 bytes aproximadamente. Este segundo archivo contiene una pequeña cantidad de código encriptado (50 bytes), lo que posiblemente se trate de información sobre la máquina infectada. El troyano intenta establecer conexión a través del puerto 6667 a 22 servidores de IRC remotos, todos con el dominio .undernet.org. Por ejemplo:
Si se establece una conexión, el troyano intentará unirse a un canal de chat específico, usando como nick un nombre formado por dos palabras guardadas en su servidor,
SVCHOST.EXE (gold, plat, fat, bomb, hehe, goal).
El troyano se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, sin revisarlo antes con uno o dos antivirus al día. |
||
