|
W32/Fatcat@mm, I-worm.fatcat@mm
Fatcat es un gusano destructivo, reportado el 11 de Enero del 2003, de propagación masiva vía mensajes de correo con un archivo anexado elegido al azar de uno de los nombres Fc.exe, Fatcat.exe o Runfc.exe. Termina los procesos de software antivirus, firewalls, monitoreo y utilitarios de sistema, borra archivos y cambia la página de Inicio del Internet Explorer.
Ha sido desarrollado en Visual Basic 6.0, tiene una extensión de 18 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP
Al ejecutar el archivo anexado, el gusano se auto-copia con el nombre de RUNFC.EXE a las carpetas asociadas a la siguiente llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders]
"default" = Local AppData
También se auto-copia con el nombre de FUNCAT.EXE a las carpetas asociadas a la siguiente llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders]
"default" = Startup
Estas carpetas ubicadas en Windows NT/2000/XP se vinculan en:
C:\Documents and Settings\%nombre_de_usuario%\Application Data
C:\Documents and C:\Documents and Settings\%nombre_de_usuario%\Start Menu\Program\Startup
En Windows 95/98/ME lo hacen en:
Para ejecutarse la próxima vez que se inicie el sistema, el gusano crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"default" = fc.exe
Una vez activado, el gusano intenta terminar con los procesos de los siguientes antivirus, firewalls, programas de monitoreo y utilitarios de sistema que se encuentren instalados:
Luego se auto-copia con cualquiera de los siguientes nombres a la carpeta de descarga del Internet Explorer:
Haciendo uso de las funciones de las librerías MAPI
(Messaging
Application Programming Interface)
se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS
Outlook.
Modifica el AUTOEXEC.BAT para conectarse a
las siguientes direcciones IP, con el objeto de saturarlas:
209.61.182.140 (www.israel.com)
209.208.36.150 (www.america.com)
Y la próxima vez que se inicie el sistema borrará estos archivos:
C:\Windows\system.dat
C:\Windows\user.dat
C:\Windows\system.da0
C:\Windows\user.da0
También remueve los atributos de
solo-lectura, oculto y de sistema de los siguientes archivos:
C:\system.dat
C:\Windows\user.dat
C:\Windows\system.da0
C:\Windows\user.da0
Cambia la página de Inicio del Internet Explorer para conectarse a una ruta URL, actualmente deshabilitada, del portal ruso:
Esta ruta tenía una carpeta la cual contenía el archivo FC.EXE, que era descargado cuando el usuario se conectaba a Internet. Sin embargo, si este archivo ya estaba presente en el sistema, el gusano intentaba re-configurar la página de Inicio del Internet Explorer hacia una en blanco, desde la cual descargaba una copia infectada al directorio %Windir%.
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP y C:\Winnt en Windows NT\2000.
El gusano además liberaba un archivo HTML infectado, el cual era inmediatamente borrado después de su ejecución. Debido a errores de programación estos procesos no culminaban exitosamente.
Sus payloads son los siguientes:
PER ANTIVIRUS® versiones 7.8 y 7.9 con registro de virus al 11 de Enero del 2003 detecta y elimina eficientemente este gusano.
