26-01-2010
, 18:51:21
|
#7 |
| Denunciante Avanzado
 |  Respuesta: Alerta por virus que elimina información del computador
Para complementar el post de mi perro con mas pulgas, voy a agregar unas características de éste archivo para que lo tengan en cuenta al momento de recibir algo en su PC.
Zimuse.A, tambien conocido como Trojan.Startpage.G, Trojan.Generic.1729691, Threat-SysVenFakP-based!Maximus.
Tamaño (bytes): 195.072
Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.
Capacidad de autopropagación: No
peligrosidad: baja
fecha de Alta:16/01/2010
Tal como indicaba, Carece de rutina propia de propagación. Puede llegar al sistema de las siguientes maneras:
Se propaga a unidades locales del sistema.
Si la fecha y hora del sistema cumplen determinadas condiciones, el gusano se copiará a si mismo en el directorio raíz de las unidades A:\, B:\, C:\, D:\, E:\, F:\, G:\, H:\, I:\, J:\, K:\ con el nombre zipsetup.exe (195072 B).
También se genera un fichero autorun.inf en esos mismos directorios. El fichero autorun.inf es ejecutado cuando estas unidades son accedidas y ejecuta el fichero zipsetup.exe
En sintesis, no se ejecuta solo, este tiene que ser ejecutado por uno mismo.
Infección/Efectos
Cuando Zimuse.A se ejecuta, realiza las siguientes acciones:
Cuando se ejecuta, se crean los siguientes ficheros:
* %system% \drivers\Mstart.sys (13100 B)
* %system% \drivers\Mseu.sys (18188 B)
* %system% \mseus.exe (69632 B)
* %system% \tokset.dll (195072 B)
* %system% \ainf.inf (41 B)
* %programfiles% \Dump\Dump.exe (28672 B)
* %temp% \Mseu.ini (225 B)
* %temp% \mseus.ini (328 B)
* %temp% \Instdrv.exe (44552 B)
* %temp% \Dump.ini (275 B)
* %temp% \Regini.exe (68880 B)
Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
Nota: %ProgramFiles% es una variable que hace referencia al directorio de instalación por defecto de aplicaciones en sistemas Windows.
Por defecto es C:\Archivos de Programa\ (Windows98/Me/2000/XP). También puede ser C:\Program Files (Windows NT) y en instalaciones de Windows en inglés.
Nota: %Temp% es una variable que representa la carpeta temporal de Windows.
Por defecto es C:\Windows\temp (Windows 95/98/Me/XP), C:\Winnt\temp (Windows NT/2000) o C:\documents and settings\{ nombre de usuario }\local settings\temp (Windows XP).
A continuación, el gusano muestra el siguiente cuadro de dialogo:
El gusano instala los siguientes drivers. De esta manera se ejecuta automáticamente en el inicio del sistema:
* %system% \drivers\Mstart.sys, MSTART
* %system% \drivers\Mseu.sys, MSEU
Para asegurarse de ser ejecutado en el arranque, también se añaden las siguientes entradas en el registro:
Clave: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run
Valor: "Dump" = " %programfiles% \Dump\Dump.exe"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ LEGACY_MSTART\0000\Control
Valor: "*NewlyCreated*" = 0
Valor: "ActiveService" = "MSTART"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ LEGACY_MSTART\0000
Valor: "Service" = "MSTART"
Valor: "Legacy" = 1
Valor: "ConfigFlags" = 0
Valor: "Class" = "LegacyDriver"
Valor: "ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
Valor: "DeviceDesc" = "MSTART"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ LEGACY_MSTART
Valor: "NextInstance" = 1
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mseu
Valor: "Type" = 1
Valor: "Start" = 2
Valor: "ErrorControl" = 1
Valor: "Tag" = 1
Valor: "Group" = "Extended base"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSTART\ Enum
Valor: "0" = "Root\LEGACY_MSTART\0000"
Valor: "Count" = 1
Valor: "NextInstance" = 1
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSTART\ Security
Valor: "Security" = "%cadena_hedecimal%"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSTART
Valor: "Type" = 1
Valor: "Start" = 3
Valor: "ErrorControl" = 1
Valor: "ImagePath" = " %system% \drivers\MSTART.SYS"
Valor: "DisplayName" = "MSTART"
Clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ UnzipService
Valor: "Type" = 272
Valor: "Start" = 2
Valor: "ImagePath" = " %system% \Mseus.exe"
Valor: "ErrorControl" = 0
Valor: "DisplayName" = "Self extract service"
Valor: "ObjectName" = "LocalSystem"
Valor: "Description" = "Self extract archive decrypt"
Valor: "ft1" = %FechayHora1%
Valor: "ft2" = %FechayHora2%
Nota: No olvidar que FechayHora son cadenas con contenido variable.
Efectos
Si la fecha y hora del sistema cumplen determinadas condiciones, el gusano sobreescribe el MBR ( Master Boot Record , Registro de arranque principal) de las unidades disponibles con información propia.
El gusano a continuación muestra el siguiente mensaje:
Otros detalles
El gusano puede borrar los siguientes ficheros:
* C:\BOOT.INI
* C:\NTDETECT.COM
* C:\NTLDR
* C:\HYBERFILE.SYS
* C:\BOOTMGR
* C:\BOOTMGR.BAK
* C:\BOOTSECT
* C:\BOOTSECT.BAK
* C:\System Volume Information\*.*
* D:\System Volume Information\*.*
* E:\System Volume Information\*.*
* F:\System Volume Information\*.*
* G:\System Volume Information\*.*
* H:\System Volume Information\*.*
* I:\System Volume Information\*.*
* J:\System Volume Information\*.*
* C:\Documents and Settings\Administrator\My Documents\*.*
* D:\Documents and Settings\Administrator\My Documents\*.*
* E:\Documents and Settings\Administrator\My Documents\*.*
* F:\Documents and Settings\Administrator\My Documents\*.*
* G:\Documents and Settings\Administrator\My Documents\*.*
* H:\Documents and Settings\Administrator\My Documents\*.*
* I:\Documents and Settings\Administrator\My Documents\*.*
* J:\Documents and Settings\Administrator\My Documents\*.*
* C:\Users\Administrator\*.*
* D:\Users\Administrator\*.*
* E:\Users\Administrator\*.*
* F:\Users\Administrator\*.*
* G:\Users\Administrator\*.*
* H:\Users\Administrator\*.*
* I:\Users\Administrator\*.*
* J:\Users\Administrator\*.*
* C:\Documents and Settings\*.*
* D:\Documents and Settings\*.*
* E:\Documents and Settings\*.*
* F:\Documents and Settings\*.*
* G:\Documents and Settings\*.*
* H:\Documents and Settings\*.*
* I:\Documents and Settings\*.*
* J:\Documents and Settings\*.*
* C:\Users\*.*
* D:\Users\*.*
* E:\Users\*.*
* F:\Users\*.*
* G:\Users\*.*
* H:\Users\*.*
* I:\Users\*.*
* J:\Users\*.*
* c:\system32\drivers\*.*
* c:\system32\CONFIG\*.*
* c:\system32\*.*
__________________ Si tienes dudas respecto al funcionamiento del foro, favor de revisar: |
|  |