| |
VSantivirus No. 1214 Año 8, Lunes 3 de noviembre de 2003
W32/Gaobot.BT. Se copia como "explores.exe"
http://www.vsantivirus.com/gaobot-bt.htm
Nombre: W32/Gaobot.BT
Tipo: Gusano de Internet y caballo de Troya
Alias: W32.HLLW.Gaobot.BT, W32/Gaobot.worm.gen, Backdoor.Agobot.2.h
Fecha: 30/oct/03
Plataforma: Windows 32-bit
Tamaño: 208,287 bytes
Puertos: TCP/135, TCP/445, TCP/6667
Es una variante menor de W32/Gaobot.AE. Gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de tres conocidas vulnerabilidades.
Las principales diferencias con variantes anteriores son las siguientes:
1. Su tamaño es de 208,287 bytes, y está comprimida con ExeStealth y ASPack
2. Se copia con el siguiente nombre:
c:\windows\system\explores.exe
3. Las entradas que agrega en el registro son las siguientes:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Config Loader2 = c:\windows\system\explores.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Config Loader2 = c:\windows\system\explores.exe
4. Utiliza el puerto TCP/6667 para recibir instrucciones vía IRC.
Más información:
Tenga en cuenta las referencias anteriores a nombres de archivos y entradas en el registro, a la hora de aplicar la limpieza manual sugerida en la siguiente descripción:
W32/Gaobot.AE. Peligroso gusano y caballo de Troya
http://www.vsantivirus.com/gaobot-ae.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
