Piggi.A. Se propaga por e-mail, utiliza rootkit

en Ultimas Amenazas de virus y sus variantes
TU PANEL DE CONTROL:
REGISTRAR
Wilkinsonpc Tienda Productos Servicios Recursos Gratuitos - Gratis Soporte Comunidad
Foros Qubitaria Ayuda de los Foros
Retroceder   Foros Comunidad : Seguridad, Spyware y Phishing : Ultimas Amenazas de virus y sus variantes
Ultimas Amenazas de virus y sus variantes Ultimas Amenazas de virus y sus variantes Conozca sobre las ultimas amenazas de virus, troyanos y gusanos a la seguridad de los sistemas operativos y programas del mundo informatico.

Piggi.A. Se propaga por e-mail, utiliza rootkit

Compartir

Nombre: Piggi.A
Nombre NOD32: Win32/Piggi.A
Tipo: Gusano de Internet
Alias: Piggi.A, Email-Worm.Win32.Piggi.a, Win32/Piggi.A
Fecha: 4/ene/06
Plataforma: Windows 32-bit
Tamaño: 73,216 bytes

Gusano de Internet que se propaga por correo electrónico, y que además puede finalizar la ejecución de antivirus y otros programas de seguridad.

Utiliza funcionalidades de rootkit para mantenerse oculto y evitar su eliminación.

También se vale de las propiedades de almacenamiento de datos proporcionadas por el sistema de archivo NTFS (disponible en Windows NT, 2000 y XP). En estos sistemas, los archivos pueden contener diferentes "flujos" de datos. A esto se le llama "file stream". Puede compararse esto a tener varios archivos comprimidos dentro de un solo .ZIP. Cada stream es accesible como un archivo individual llamado ADS (Alternate Data Stream).

Utilizando esas características, crea el siguiente archivo:
c:\windows\system32\svchost.exe:svchost.exe

Crea también los siguientes archivos:

c:\zyxwvuts.log
c:\windows\system32\msfsr.sys
c:\windows\system32\drivers\[nombre al azar].sys

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

Se copia a si mismo con el mismo nombre y ubicación del Internet Explorer:

[Archivos de programa]\Internet Explorer\iexplore.exe

NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

El IEXPLORE.EXE es movido a la siguiente carpeta:

c:\windows\system32\dllcache\

Crea copias de si mismo en todas las carpetas del sistema, cuyos nombres contengan algunas de las siguientes cadenas de texto:

BearShare
Collections
Downloads
my shared folder
share
shared
upload
uploads

Algunos de los nombres de archivos que utiliza en esos casos, están formados con los siguientes componentes:

[parte 1]+[parte 2]

Donde [parte 1] es una de las siguientes:

10,000 B.C.
28 Weeks Later
30 Days of Night
30 Rock season 2
Across the Universe
Age of Conan-Hyborian Adventures
Alpha Dog
American Gangster
Angel-A
Angelina Jolie(unseen)
Are We Done Yet?
Atonement
August Rush
Balls of Fury
Because I Said So
Beowulf
Black Book
Blades of Glory
Breach
Britney Spears(unseen)
Brother & Sisters season 2
Captivity
Carmen Electra(unseen)
Command & Conquer 3-Tiberium Wars
Company of Heroes
Criminal Minds - next season
CSI-London
Dallas
Dancing with the Stars - next season
Death at a Funeral
Delta Farce
Desperados 2-Cooper's Revenge
Desperate Housewives - next season
Disturbia
Dragon Age
Dreamfall-The Longest Journey
Dungeons & Dragons Online-Stormreach
Eastern Promises
El Cantante
Elder Scrolls IV-Oblivion
Enchanted
Enemy Territory-Quake Wars
Epic Movie
Evening
Fantastic Four 2
Final Fantasy XIV
Firehouse Dog
Fly Me to the Moon
Foodfight!
Fracture
Fragile
Freedom Writers
Full Auto 2-Battlelines
Full of It
Gears of War
Ghost Recon-Advanced Warfighter
Gilmore Girls season 8
God Grew Tired of Us
Gran Turismo HD
Grand Theft Auto IV
Grind House
Guild Wars-Factions
Hairspray
Half-Life 2-Aftermath
Halloween
Hannibal Rising
Hellgate-London
Heroes of Might & Magic V
Hilary Duff(unseen)
His Dark Materials-The Golden Compass
Horton Hears a Who
Hostel 2
Hot Fuzz
Hot Rod
In the Land of Women
Inkheart
Iron Man
Jennifer Lopez(unseen)
Jessica Alba(unseen)
Jessica Simpson(unseen)
Journey 3-D
Jumper
Kidnapped season 2
Kingdom Hearts 2
Kung Fu Panda
La Vie en Rose
Lucky You
Lust, Caution
Master of Time and Space
Metal Gear-Subsistence
Metroid Prime Hunters
No Reservations
Ocean's Thirteen
Offside
Okami
Opus-The Last Christmas
Pamela Anderson(unseen)
Paris Hilton(unseen)
Pathfinder
Perfect Stranger
Pride
Pride & Glory
Prison Break season 3
Prom Night (2007)
Rainbow Six-Vegas
Red Steel
Reservation Road
Resistance-Fall of Man
Rise of Nations-Rise of Legends
Rocket Science
Rogue
Romeo & Juliet-Sealed with a Kiss
S.T.A.L.K.E.R.-Shadow of Chernobyl
Scrubs - next season
Seven Day Itch
Severance
Shoot 'Em Up
Shooter
Skinwalkers
Slow Burn
Smokin' Aces
South Park season 11
Southland Tales
Splinter Cell Essentials
Splinter Cell-Double Agent
Spring Breakdown
Standoff season 2
Star Trek-Legacy
Star Wars-Empire at War
Starcraft-Ghost
Stardust
Stomp the Yard
Strange Wilderness
Strangers
Sunshine
Super Bad
Supreme Commander
Surf's Up
Talk to Me
The Assassination of Jesse James
The Astronaut Farmer
The Dark Is Rising
The Flock
The Half Life of Timofey Berezin
The Hitcher
The Hoax
The Host
The Ice at the Bottom of the World
The Invasion
The Invisible
The Kingdom
The Last Legion
The Last Sin Eater
The Lives of Others
The Lord of the Rings-The Battle for Middle-earth II
The Messengers
The Namesake
The Nine season 2
The Number 23
The OC season 5
The Office season 4
The Reaping
The Simpsons
The Spiderwick Chronicles
The Transformers
The TV Set
The Ultimate Gift
The Valet
The Waterhorse
This Christmas
Til Death season 2
Too Human
Trade
Trick 'r Treat
Ugly Betty season 2
Underdog
Untraceable
Vacancy
Vanguard Saga of Heros
Vantage Point
Veronica Mars - next season
Vista
Vista Ultimate
Whisper
Wild Hogs
Without a Trace - next season
Wonder Woman
World of Warcraft-The Burning Crusade
Zodiac

Y [parte 2] es una de las siguientes:

- Full.exe
- Keygen.exe
.avi.com
.iso.exe
.mp4.com
.zip.exe

Ejemplos:

10,000 B.C. - Full.exe
El Cantante.avi.com
El Cantante - Keygen.exe
Jennifer Lopez(unseen).mp4.com

También se copia a si mismo con los siguientes nombres, suplantando los archivos originales y evitando que los antivirus relacionados puedan actualizarse automáticamente:

[Archivos de programa]\McAfee.com\Agent\mcupdate.exe
[Archivos de programa]\Symantec\LiveUpdate\AUPDATE.EXE
[Archivos de programa]\Symantec\LiveUpdate\LUALL.EXE

El gusano posee características de rootkit para ocultar sus propios procesos y archivos instalados, utilizando dos servicios en modo kernel, creados con los dos archivos .SYS creados antes.

El primero de ellos (MSFSR.SYS), permite ocultar cualquier proceso activo. El segundo .SYS (con nombre al azar), esconde cualquier archivo cuyo nombre esté en la lista almacenada en C:\ZYXWVUTS.LOG.

Para propagarse por correo electrónico, colecciona las direcciones que busca en diferentes archivos del equipo infectado, como la libreta de direcciones (.WAB), y los archivos temporales de Internet.

Crea las siguientes entradas del registro para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
top\worm = [nombre y camino del troyano]

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
SvcHost = "C:\WINDOWS\system32\svchost.exe:svchost.exe"

También crea las siguientes entradas para registrar algunos de sus componentes como servicios:

HKLM\SYSTEM\CurrentControlSet\Services\msfsr
HKLM\SYSTEM\CurrentControlSet\Services\[nombre al azar]

Para propagarse por correo electrónico, utiliza mensajes con las siguientes características:

De: [una de las siguientes direcciones falsas]

updates @ McAfee.com
updates @ Microsoft.com
updates @ Symantec.com
[nombre al azar] @ aol.com
[nombre al azar] @ hotmail.com
[nombre al azar] @ msn.com
[nombre al azar] @ yahoo.com

Asunto: [uno de los siguientes]

Data format error.
Destination host is not responding.
Mail quota exceeded.
Mail transaction failed.
Mail transaction failed. Data format error.
Mail transaction failed. Mail quota exceeded.
Mail transaction failed. Message is too large.
Mail transaction failed. Partial message is available.
Mail transaction failed. Service unavailable.
Mail transaction failed. Session aborted.
Message is too large.
Network failure.
Service unavailable.
Your message could not be delivered.
Your message is undeliverable.
Your message was not delivered.

Datos adjuntos: [un archivo con alguno de los siguientes nombres]

Alien vs. Predator 2.???
Angelina Jolie.???
Assassin.???
attachment.???
Auto Assault.???
BioShock.???
Britney Spears.???
Carmen Electra.???
casino.???
Command & Conquer 3: Tiberium Wars.???
Crysis.???
CSI: London.???
details.???
document.???
Dragonball.???
Dungeons & Dragons Online: Stormreach.???
Enemy Territory: Quake Wars.???
Extreme Ghouls n' Ghosts.???
Final Fantasy XIII.???
Full Auto.???
Full Auto 2: Battlelines.???
gaming.???
Ghost Recon: Advanced Warfighter.???
Ghost Rider.???
Grey's Anatomy - next season.???
Half-Life 2: Aftermath.???
Halo 3.???
Hellgate: London.???
Heroes season 2.???
Hilary Duff.???
Huxley.???
Indiana Jones 4.???
instructions.???
Jennifer Lopez.???
Jericho season 2.???
Jessica Alba.???
Jessica Simpson.???
Killzone PS3.???
letter.???
Live Free or Die Hard.???
Lost season 4.???
message.???
Metal Gear: Subsistence.???
myspace.???
myspacedetails.???
Neverwinter Nights 2.???
onlinecasino.???
onlinegaming.???
onlinepoker.???
Pamela Anderson.???
Paris Hilton.???
poker.???
pokerstrategy.???
pokertechnique.???
Premonition.???
Pursuit Force.???
Rainbow Six: Vegas.???
readme.???
Resident Evil 3.???
Resident Evil 5.???
Resistance: Fall of Man.???
Rush Hour 3.???
s Creed.???
Shark season 2.???
Six Degrees season 2.???
Smith season 2.???
Spider-Man 3.???
Splinter Cell: Double Agent.???
Spore.???
Star Trek: Legacy.???
Star Wars: Empire at War.???
Starcraft: Ghost.???
Studio 60 on the Sunset Strip season 2.???
Tekken.???
Terminator 4.???
The Hills Have Eyes II.???
transcript.???
Unreal Tournament 2007.???
Virtua Fighter 5.???
Warhammer Online Age Of Reckoning.???
your bank account details.???
your financial details.???
your financial information.???
your personal details.???
your personal information.???
your SSN etc.???
your tax returns.???
yourmyspacedetails.???
yoursite.???
yourwebsite.???
yousite.???
youtube-you.???

Donde "???" puede ser una de las siguientes extensiones:

.gif
.html
.jpeg
.mp3
.rtf
.txt
.wav
.wma

Texto del mensaje: [armado según el siguiente esquema]

[Grupo 1]
[Grupo 2]+[Grupo 3]+[Grupo 4]
[Grupo 5]+[Grupo 6]+[Grupo 7]
[Grupo 8]
[Grupo 9]+[Grupo 10]+[Grupo 11]+[Grupo 12]
[Grupo 13]+[Grupo 14]
[Grupo 15]+[Grupo 16]+[Grupo 17]
[Grupo 18]

Donde los elementos para cada grupo son tomados al azar de las siguientes listas:

Grupo 1:

Hi
Hello

Grupo 2:

We discovered this
I discovered this
We saw this
We found this
I saw this
I found this

Grupo 3:

shot
picture
photo

Grupo 4:

(attached) of you on
Flickr.
the web.
the net.
somebody's blog.
a web site.

Grupo 5:

Maybe you should
You should
You have to
I think you should
You need to

Grupo 6:

open it
see it
look at it

Grupo 7:

straight away.
right now.
immediately.

Grupo 8:

That's unnatural!
That's offensive!
That shouldn't be allowed!
That's disgusting!
I can't believe you would publish that yourself.
That should be private!
You shouldn't be doing that.
I can't believe you would do that.
I can't believe that is you.

Grupo 9:

Maybe you should
You should
You have to
I think you should
You need to

Grupo 10:

incredible
amazing
unbelievable
totally
completely

Grupo 11:

free offer
free deal

Grupo 12:

on a web site.
on the web.
on the net.

Grupo 13:

A free
This is a limited time
This is a limited
This is a one time
This is a once only

Grupo 14:

deal.
offer.

Grupo 15:

A
A brand new
Your own

Grupo 16:

laptop
Sat Nav
MP3 player
plasma TV
LCD TV
notebook
digital camera
cell phone
Nokia cell phone
iRiver Clix
Sony PSP
Nintendo DS Lite
Creative Zen V Plus
Creative Zen Vision:M
Sony Laptop
Apple MacBook Pro
Toshiba Gigabeat
iPod
Motorola Q cell phone
Canon PowerShot
Microsoft Zune
Sony PlayStation 3
Nintendo Wii
Vista upgrade

Grupo 17:

completely free
totally free
for nothing
for free

Grupo 18:

Instructions attached.
Details attached.
Just open the attachment for details.
Look at the attachment.
See the attachment.

Un ejemplo:

Hello
I discovered this photo somebody's blog.
You should open it straight away.
That's offensive!
I think you should amazing free offer on a web site.
This is a limited time offer.
Your own laptop completely free
Just open the attachment for details.

El gusano intenta detener la ejecución de los siguientes servicios relacionados con software antivirus:

McShield
navapsvc
SymAppCor

De forma periódica, el gusano intenta conectarse al sitio del servicio de inteligencia británico MI5.

---------------------------------------------------------------------------------------------------
REPARACION MANUAL

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
---------------------------------------------------------------------------------------------------
Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados por el Antivirus.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro de Windows

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\msfsr

5. Haga clic en la carpeta "msfsr" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\[nombre al azar]

7. Haga clic en la carpeta "Services" y busque y borre toda subcarpeta (nombre al azar), dentro de "Services" que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

8. Cierre el editor del registro.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Fuente: VSANTIVIRUS
[hr]


Archivo HOSTS | Antivirus NOD32 | Agnitum Outpost Firewall
Compartir
  #1  
Creado: 10-Jan-2007, a las 21:09 Vistas: 590
Categoria: Ultimas Amenazas de virus y sus variantes
Creado por: W-Bot W-Bot está desconectado (18-February-2005 | Colombia | 5.563 Mensajes.)
Respuesta

Etiquetas
email, piggia, propaga, rootkits


Temas Similares
» Fuclip.AN. Utiliza técnicas de rootkit para ocultarse 0
» Fuclip.AK. Utiliza técnicas de rootkit para ocultarse 0
» Adware.LinkOptimizer. Utiliza técnicas rootkit 0
» Fuclip.K. Utiliza técnicas de rootkit para ocultarse 0
» Rustock.NAH. Descarga otros archivos, utiliza rootkit 0
» Gromoz.P. Utiliza técnicas rootkit y flujo de datos 0
» Gromoz.O. Utiliza técnicas rootkit y flujo de datos 0
» Gromoz.M. Utiliza técnicas rootkit y flujo de datos 0
» Gromoz.L. Utiliza técnicas rootkit y flujo de datos 0
» GiftCom.A. Se propaga por IM, utiliza rootkit 0


Herramientas Buscar en Tema
Buscar en Tema:

Búsqueda Avanzada
Desplegado

Ir al Foro


» ComuniDAD
Inicio
Noticias de Actualidad
Apuntes, Monografias y Tareas
Telefonia, Celulares, TV, GPS, ISP, PDA
Programas Windows, Mac, Linux, etc.
Hardware, Electronica y Redes
Diseño Web y Programacion
Internet y Grandes Portales
Juegos, Consolas y Emuladores
Multimedia, Diseño y Animaciones
Peliculas, Series, Musica, Trailers, Videos, Parodias
Seguridad y Spyware
Salud, Bienestar, Familia y Esparcimiento
Economia, Negocios y Asuntos Legales
Hoteles, Viajes y Turismo
Mundo a Motor [Motos, Autos, etc]
Foros Generales (OFF TOPIC)
Calendario de Eventos
Administracion ComuniDAD



Ultimos Temas


La franja horaria es GMT -5. Ahora son las 20:48.


2010 ©
Powered by : vBulletin® Versión 3.8.8 Copyright ©2000 - 2020, Jelsoft Enterprises Ltd.
SEO by vBSEO 3.2.0
Sitemap 1 - Sitemap 2 - Sitemap 3 - Sitemap 4