w32/bugbear.a@mm

Imagen biografía
Categoría: Gusanos de e-mail
Valora este manual:





 
Enviada por: Administrador

Manual de informática de w32/bugbear.a@mm

w32.bugbear@mm, w32/bugbear-a, w32/bugbear.a@mm, w32/bugbear.worm, win32.bugbear, worm/tanatos, worm_natosta.a, w32/tanat, i-worm.tanatos, tanat, tanatos
tipo: gusano de e-mail / redes compartidas
troyano espía (backdoor)

tama?o: 50,688 bytes
origen: internet
destructivo: si (roba contraseñas y envía información de la computadora) en la calle (in the wild): si detección y eliminación:
the hacker 5.3 al 30/09/2002.
descripción:
w32/bugbear.a@mm , es un gusano que se propaga vía e-mail y en redes locales a traves de recursos compartidos.
el gusano roba contraseñas de windows y las envía a diferentes direcciones anónimas en internet propiedad del creador del gusano..
el gusano utiliza una vulnerabilidad conocida en internet explorer 5 para activarse con solo visualizar el mensaje infectado (no es necesario abrir el archivo adjunto para infectarse).
características de los mensajes de e-mail:
asunto: variable, el gusano utiliza asuntos al azar o extrae uno de la siguiente lista
-25 merchants and rising
-announcement
-bad news
-call for information!
-click on this!
-correction of errors
-cows
-daily email reminder
-empty account
-fantastic
-free shipping!
-get 8 free issues - no risk!
-get a free gift!
-greets!
-hello!
-hi!
-history screen
-hmm..
-i need help about script!!!
-interesting...
-introduction
-its easy
-just a reminder
-lost & found
-market update report
-membership confirmation
-my ebay ads
-new bonus in your cash account
-new contests
-new reading
-news
-payment notices
-please help...
-re: $150 free bonus!
-report
-scam alert!!!
-sponsors needed
-stats
-today only
-tools for your online business
-update
-various
-warning!
-wow!
-your gift
-your news alert cuerpo : variable
archivo adjunto: : variable, con doble extensión que termina en .exe, .pif o .scr
------------------------------------------------------
el gusano se activa si el usuario abre el archivo adjunto o en forma automática si se utiliza internet explorer sin el parche de seguridad. al activarse se copia así mismo en la carpeta del sistema con un nombre al azar que empieza con f***.exe. :
c:\windows\system\f***.exe
win95/98/me: c:\windows\system\frty.exe
xp/2000/nt: c:\winnt\system32\fhjy.exe
- carpeta de inicio con un nombre que empieza con c**.exe
win95/98/me : c:\windows\menú inicio\programas\inicio\cut.exe
xp/2000/nt : c:\documents and settings\<usuario>\menú inicio\programas\inicio\cre.exe
- en la carpeta del sistema como :
c:\windows\system\iccyoa.dll
c:\windows\system\lggugaa.dll
c:\windows\system\roomuaa.dll
- en la carpeta de windows como :
c:\windows\okkqsa.dat
c:\windows\ussiwa.dat
además el gusano crea una entrada en el registro para ejecutarse en cada inicio del sistema
hkey_local_machine\software\microsoft\windows\currentversion\runonce
e-mails en masa: terminado el proceso de copia procede a enviar mensajes infectados a todos los e-mails posibles. el gusano captura los e-mails buscando en la bandeja de entrada y en los archivos con extensión mmf, nch, mbx, eml, tbb, dbx.
los mensajes infectados son creados de tal forma que exploten una vulnerabilidad en internet explorer y puedan infectar la computadora del receptor del mensaje con tan sólo visualizar el mensaje. más información de la vulnerabilidad en la web de microsoft en la siguiente dirección: incorrect mime header can cause ie to execute e-mail attachment vulnerability (ms01-020)
propagacion por redes: el gusano verifica si tiene acceso a otras computadora por recursos compartidos como c, mis documentos, winnt, etc si se encuentra algún recurso se copia a la carpeta de inicio con un nombre que empieza con c**.exe (ej. ciu.exe, crt.exe)
win95/98/me: c:\windows\menú inicio\programas\inicio\cut.exe xp/2000/nt: c:\documents and settings\<usuario>\menú inicio\programas\inicio\cre.exe troyano / backdoor / espia el gusano crea un archivo espía o backdoor que permite controlar la computadora remotamente, el gusano abre el puerto 36794 y actua como un servidor recibiendo instrucciones para abrir, borrar, mover, envíar, recibir, copiar, ejecutar archivos entre otras operaciones.
robo de informacion / contraseñas el gusano tiene una rutina que envía los password del usuario e información del sistema a diferentes e-mails en servidores gratuitos.
eliminacion de procesos para evitar su detección, el gusano w32/bugbear termina los siguiente procesos en memoria pertenecientes a algunos antivirus y firewalls:
ackwin32.exe
f-agnt95.exe
anti-trojan.exe
apvxdwin.exe
autodown.exe
avconsol.exe
ave32.exe
avgctrl.exe
avkserv.exe
avnt.exe
avp32.exe
avpcc.exe
avpdos32.exe
avpm.exe
avptc32.exe
avpupd.exe
avsched32.exe
avwin95.exe
avwupd32.exe
blackd.exe
blackice.exe
cfiadmin.exe
cfiaudit.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
cleaner.exe
cleaner3.exe
dvp95_0.exe
ecengine.exe
esafe.exe
espwatch.exe
findviru.exe
fprot.exe
iamapp.exe
iamserv.exe
ibmasn.exe
ibmavsp.exe
icload95.exe
icloadnt.exe
icmon.exe
icsupp95.exe
icsuppnt.exe
iface.exe
iomon98.exe
jedi.exe
lockdown2000.exe
lookout.exe
luall.exe
moolive.exe
mpftray.exe
n32scanw.exe
navapw32.exe
navlu32.exe
navnt.exe
navw32.exe
navwnt.exe
nisum.exe
nmain.exe
normist.exe
nupgrade.exe
nvc95.exe
sphinx.exe
f-stopw.exe
sweep95.exe
outpost.exe
padmin.exe
pavcl.exe
pavsched.exe
pavw.exe
pccwin98.exe
pcfwallicon.exe
persfw.exe
f-prot.exe
f-prot95.exe
rav7.exe
rav7win.exe
rescue.exe
safeweb.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
serv95.exe
tbscan.exe
tds2-98.exe
tds2-nt.exe
vet95.exe
vettray.exe
vscan40.exe
vsecomr.exe
vshwin32.exe
vsstat.exe
webscanx.exe
wfindv32.exe
zonealarm.exe
1992/2002


Comparte este manual:


Comparte este manual por email con un amigo/a:

Tu nombre
Tu email
El nombre de tu amigo
El email de tu amigo