| |
VSantivirus No. 1243 Año 8, Martes 2 de diciembre de 2003
W32/Gaobot.CI Se copia como "scvh0st.exe"
http://www.vsantivirus.com/gaobot-ci.htm
Nombre: W32/Gaobot.CI
Tipo: Gusano de Internet y caballo de Troya
Alias: W32/Agobot-AX, W32/Gaobot.worm.gen, W32.HLLW.Gaobot.BC
Fecha: 01/dic/03
Plataforma: Windows 32-bit
Puertos: TCP/135, TCP/445, TCP/1000 al 3000, TCP/10000, etc.
Es una variante menor de W32/Gaobot.AO. Gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de tres conocidas vulnerabilidades.
Las principales diferencias con variantes anteriores son las siguientes:
1. Se copia con el siguiente nombre:
c:\windows\system\scvh0st.exe
Nota: la supuesta letra "O" en realidad es un CERO.
2. Las entradas que agrega en el registro son las siguientes:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Configuration Loader = scvh0st.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Configuration Loader = scvh0st.exe
IMPORTANTE: No confunda SCVH0ST.EXE (la "0" es un CERO), con SVCHOST.EXE, ya que es un archivo legítimo de Windows.
Más información:
Tenga en cuenta las referencias anteriores a nombres de archivos y entradas en el registro, a la hora de aplicar la limpieza manual sugerida en la siguiente descripción:
W32/Gaobot.AO. Peligroso gusano y caballo de Troya
http://www.vsantivirus.com/gaobot-ao.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
