W32/Taripox.b. Una forma inédita de propagarse

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 532 - Año 6 - Sábado 22 de diciembre de 2001

Nombre: W32/Taripox.b
Tipo: Gusano de Internet
Alias: Carrytone, I-Worm.Taripox.b, WNT/Taripox.b
Fuente: F-Secure

Este gusano funciona solo en Windows NT (y posiblemente Windows 2000 y XP bajo ciertas condiciones).

Su código (escrito en C), ocupa solo 40 Kb.

Puede enviarse en forma masiva vía Internet, y utiliza una técnica inédita hasta ahora para propagarse.

Para ello, implementa un proxy SMTP que se pone a la escucha por el puerto 25, clásico de SMTP, en la máquina infectada.

Cuando el gusano se ejecuta por primera vez, toma el nombre del servidor SMTP de la configuración del programa de correo del usuario, y modifica el archivo HOSTS para hacer que la dirección IP de dicho servidor SMTP sea la de localhost (127.0.0.1).

De esta manera, cuando el usuario envía un e-mail, el programa de correo, al intentar conectarse a su servidor SMTP en Internet, lo estará haciendo al SMTP del gusano en la misma máquina local.

Después de recibir la conexión, el código del gusano ejecuta e intercambia todos los comandos necesarios para conectarse al verdadero servidor SMTP, hasta que recibe la respuesta (un comando SMTP Data), que es la orden que marca el comienzo de los datos del mensaje. En este punto, el gusano se inserta a si mismo dentro del mensaje que envía, como un archivo adjunto.

El nombre de este adjunto, es formado por el nombre de la cuenta del destinatario, más las extensiones .DOC.PIF.

Por ejemplo, si el destinatario fuera Video Soft:

De: [dirección de la víctima]
Para: videosoft@videosoft.net.uy

Entonces el adjunto se llamaría:

videosoft.doc.pif (41,0 Kb)

Si el usuario abre este adjunto, estará ejecutando al mismo gusano, el cuál copia su código a la carpeta Windows con el nombre de MMOPLIB.EXE

También es modificado el registro para que al reiniciarse la computadora, se ejecute el gusano:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
mmopl = C:\Winnt\MMOPLIB.EXE

También crea otra clave, en la que guarda información necesaria para su funcionamiento:

HKLM\Software\Microsoft\Media Optimization Library

Cómo limpiar manualmente un sistema infectado

Para quitar el gusano de un sistema infectado, debe borrar ambas entradas del registro

1. Ejecute REGEDIT (REGEDIT32) desde Inicio, Ejecutar, y abra la siguiente rama:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

2. Borre la entrada que aparece en la ventana de la derecha:

"mmopl" "C:\Winnt\MMOPLIB.EXE"

3. También borre la carpeta "Media Optimization Library" de la entrada:

HKLM\Software\Microsoft\Media Optimization Library

Luego reinicie su computadora para asegurarse que el gusano ya no esté en memoria, y borre el archivo MMOPLIB.EXE.

El archivo HOSTS debe ser limpiado para que funcione el envío de correo electrónico después de haber sido eliminado el gusano.

Este archivo se encuentra en %system_dir%\drivers\etc\hosts (donde %system_dir% equivale a la dirección de la carpeta Windows. Por defecto: "C:\Winnt" en NT.

Editar el archivo de texto HOSTS, y borrar todas las referencias a 127.0.0.1 que correspondan a servidores SMTP de las cuentas del usuario infectado, por ejemplo:

127.0.0.1 localhost
127.0.0.1 mail.proveedor.com
127.0.0.1 proveedor2.com

Borre las líneas 2 y 3, y deje la primera (localhost).

127.0.0.1 localhost