Net-Worm.Win32.Bizex

Clase de padre: VirWare

Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.

Clase: Net-Worm

Net-Worms se propagan a través de redes informáticas. La característica distintiva de este tipo de gusano es que no requiere acción del usuario para propagarse. Este tipo de gusano generalmente busca vulnerabilidades críticas en el software que se ejecuta en las computadoras en red. Para infectar las computadoras en la red, el gusano envía un paquete de red especialmente diseñado (llamado exploit) y como resultado el código del gusano (o parte del código del gusano) penetra en la computadora de la víctima y se activa. A veces, el paquete de red solo contiene la parte del código del gusano que descargará y ejecutará un archivo que contiene el módulo principal del gusano. Algunos gusanos de red usan varios exploits simultáneamente para propagarse, lo que aumenta la velocidad a la que encuentran víctimas.

Más información

Plataforma: Win32

Win32 es una API en sistemas operativos basados ​​en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.

Descripción

Detalles técnicos

Este gusano utiliza el sistema de mensajería instantánea ICQ para propagarse a través de Internet.

El gusano envía a los usuarios de ICQ un mensaje con una URL, que está vinculada a un archivo que contiene procedimientos para descargar y ejecutar automáticamente el componente malicioso del gusano en la computadora de la víctima.

Propagación

Al conectarse al sitio

 http://www.jokeworld.xxx/xxx.html 

(x aquí se usa para reemplazar ciertos caracteres) se usa CHM-exploit-a. El resultado de esto es que un archivo CHM especialmente construido se ejecuta automáticamente en la computadora de la víctima. Este archivo contiene otro archivo llamado 'iefucker.html'; este archivo contiene TrojanDropper, un tipo de troyano escrito en el lenguaje de script. Este troyano extrae un archivo llamado WinUpdate.exe de sí mismo a un rango de directorios del sistema.

En Windows 2000 y Windows XP:

 C: Documentos y configuracionesTodos los usuarios Menú de inicioProgramasStartupWinUpdate.exe 

y en Windows 98:

 c: windowsStart MenuProgramsStartupWinUpdate.exe 

WinUpdate.exe es un programa troyano del grupo TrojanDownloader, que descarga el componente principal del gusano desde un sitio remoto y lo escribe en el directorio temporal bajo el nombre aptgetupd.exe.

Componente principal

Aptgetupd.exe es un archivo PE.EXE, de aproximadamente 84 KB (86528 bytes) de tamaño, empaquetado con PECompact.

Una vez ejecutado, el gusano se copia a sí mismo con el nombre sysmon.exe en el subdirectorio SYSMON del directorio del sistema de Windows y lo registra en la clave de ejecución automática del registro del sistema:

 [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]  "sysmon" =% system% sysmonsysmon.exe 

El gusano tiene una función de robo que le permite robar información relacionada con una gama de servicios financieros:

 Acceso a Banca por InternetAccueil Bred.fr> Espace Bred.frAmerican Express UK - Finanzas personalesBanamex.combancoBanqueBanque en ligneServicios comerciales de BarclaycardCollegamento a ScrignoOficina Electrónica Comercial Iniciar sesiónCredit Lyonnais interactiCyberMUTE * TRADE Iniciar sesiónAcceso a la cuenta e-goldPágina de inicio Banca IntesaLloydsTSB en línea - BienvenidoAdministración mercantilPágina de inicio Área de usuario seguraSUNCORP METWAYTous les produits et servicesGerente de socio de VeriSignServicio VeriSign Personal TrustWells Fargo - Página de inicio para pequeñas empresas 

También roba datos transmitidos por HTTPS, relacionados con cuentas de una variedad de servicios de correo como Yahoo, etc.

Toda la información robada se guarda en los archivos ~ pass.log, ~ key.log y ~ post.log y se envía por FTP a un servidor remoto: www.ustrading.info

El gusano extrae varios archivos .dll de sí mismo y los instala en el directorio del sistema de Windows:

 java32.dlljavaext.dllicq_socket.dll (biblioteca utilizada para enviar mensajes a través de ICQ)ICQ2003Decrypt.dll (biblioteca ICQ) 

El gusano obtiene acceso a la lista de contactos de ICQ, desconecta el cliente ICQ que se ha iniciado, se conecta al servidor con el nombre del usuario de la máquina infectada y envía a todos los contactos un enlace a su propio sitio.

Otro

Además del exploit CHM, cuando se abre el enlace, se intenta descargar y ejecutar un archivo Java, que contiene un rango de TrojanDownloaders (detectado como Trojan.Java.ClassLoader y TrojanDownloader.Java.OpenConnection ) que también intentan para descargar los componentes del gusano a la computadora de la víctima.

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com