|
W32/Duload.C@MM, I.worm.Duload.C@mm
DULOAD.C es un gusano reportado el 19 de Septiembre del 2002, de alta propagación masiva a través de mensajes de correo que no contienen Asunto, Contenido ni archivo Anexado y que infecta con tan solo visualizar el mensaje. También se difunde en la red de archivos compartidos Kazaa y las unidades de disco con archivos compartidos de las Redes LAN.
La característica de tener los campos mencionados del formato de correo, en blanco, y de infectar con tan solo visualizarlo lo convierten en gusano muy peligroso. Mas aún, cuando este gusano libera varios Troyanos/Backdoor, que permitirían a un hacker tomar un absoluto control de los sistemas infectados, en forma remota.
Está desarrollado en Visual Basic 6.0 y su código viral se encuentra oculto dentro del mensaje, en formato HTML.
Con una extensión de 22 KB, infecta a Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000.
Al visualizar el mensaje, el gusano crea la carpeta \EXPLORER32 en %System% y auto-copia su código viral a la capeta recién creada (%System%\Explorer32) con los siguientes nombres:
Asimismo copia a las siguientes carpetas, estos archivos troyanos/backdoor:
Para poder ser ejecutado la próxima vez que se inicie el sistema, genera una llave en el registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Windows System Restorer = %System%\SystemRestorer.exe
Para ejecutar los archivos WINNTBB.EXE y WINDRIVERS.EXE,
crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
WinNtBB = %Windir%\WinntBB.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
WinRunners = %System%\WinDrivers.exe
%System%, es una variable del Sistema de Windows y que por defecto es C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para NT/2000 o C:\Windows\System32 para Windows XP.
Estos archivos infectados contienen
instrucciones para activar a todos los Troyanos/Backdoor.
También agrega dos llaves de registro,
para verificar que las acciones de infección se
ejecutaron con éxito:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion]
Duload YouAreInfected = "True"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
Shell32 = "Shell32.exe"
Para facilitar su propagación a través de Kazaa, crea otra llave de
registro que habilita las carpetas compartidas de la popular esta popular red:
[HKEY_CURRENT_USER\Software\KAZAA\LocalContent]
DisableSharing = "0"
Actualmente, los creadores de virus han convertido a Kazaa en uno de lo medios preferidos para la propagación de sus creaciones, debido a que ésta permite compartir archivos de videos, música MP3, fotografías, Chat interactivo, etc., en forma simultánea. Para ello es necesario instalar su software gratuito propietario en el sistema de cada usuario:
Este gusano tiene dos (2) payloads: saturación de de servidores, estaciones de trabajo, PC domésticas y de control remoto de los equipos infectados por medio de los Troyanos/Backdoor que libera.
PER ANTIVIRUS® versión 7.6 y 7.7 con registro de virus al 19 de Septiembre del 2002 detecta y elimina eficientemente este gusano y sus variantes.
