|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| IRC/Smev. Un troyano que convierte su PC en un BOT | ||
|---|---|---|
VSantivirus No. 645 - Año 6 - Sábado 13 de abril de 2002 IRC/Smev. Un troyano que convierte su PC en un BOT http://www.vsantivirus.com/smev.htm Nombre: IRC/Smev Tipo: Caballo de Troya y gusano de IRC Alias: IRC-Smev Puerto por defecto: 6667 Fecha: 11/abr/02 Fuente: NAI Se trata de un troyano que se vale de conocidos exploits y herramientas legítimas, para infectar a su víctima y propagarse en los canales de IRC (Internet Relay Chat). Utiliza el mIRC, como cliente de chat, al cual renombra y copia en una carpeta. De ese modo el usuario infectado ni siquiera requiere tener instalado previamente tal programa. Un archivo de proceso por lotes (.BAT) provee las acciones necesarias para provocar la infección, ejecutando una serie de scripts que contienen las instrucciones que comprometen la seguridad de los sistemas infectados. El primer script lanzado por el archivo BAT, ejecuta una herramienta estándar para intentar conectarse a otras máquinas vulnerables a través de sus direcciones IP. Con la primera máquina vulnerable encontrada, se produce la propagación del gusano a través de la red. Un segundo script es llamado para intentar conexiones al recurso 'C$', si se encuentra compartido en una máquina remota considerada vulnerable. Los intentos son hechos con el nombre de usuario 'Administrator', y otros obtenidos con la acción del script anterior. Enseguida, otra utilidad es usada para copiar dos archivos en los recursos compartidos mencionados, y luego ejecutarlos en forma remota. El batch agrega el siguiente gancho para ejecutar el cliente mIRC renombrado como WIN32.EXE, y luego se borra a si mismo.
El gusano puede actuar como un bot de IRC en la máquina de la víctima, intentando conectarse a varios servidores de IRC, listados en un archivo de texto provisto por el propio troyano. Una vez conectado, el bot puede recibir varios comandos remotos, por ejemplo:
El cliente del mIRC, renombrado como WIN32.EXE es detectado como una aplicación infectada por la mayoría de los antivirus, por su carácter peligroso, aunque se trate del mismo ejecutable (limpio) de una de las versiones del verdadero mIRC. |
||
