|
W32/Halfint, I.worm.Halfint
HALFINT es un gusano reportado el 28 de Abril del 2003, que a pesar de no ocasionar efectos nocivos se propaga masivamente a través de la popular Kazaa, con archivos de diversos atractivos nombres y una vez que infecta un sistema, genera 36 copias de sí mismo en el directorio de archivos compartido del software KaZaA.
Sin embargo nada impediría que este gusano se propague por otros servicios de Internet.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000, incluyendo los servidores NT/2000. Ha sido desarrollado en Visual C++ versión 6.0, con una extensión de 14 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Es necesario informar que la situación de las redes de archivos compartidos Peer to Peer acaba de ser favorecida con el reciente pronunciamiento de un Juez Federal de los Angeles, en contra de la Industria Discográfica:
http://news.zdnet.co.uk/story/0,,t269-s2133938,00.html
La red P2P Kazaa es la más popular y conocida. Permite descargar videos, música MP3, fotografías y archivos de grupos musicales e intérpretes, a miles de usuarios, en forma simultánea. Para ello es necesario instalar en el sistema su software propietario, el mismo que abre en la computadora del usuario el puerto 1214, el cual permite acceder a los equipos a través de las siguientes instrucciones:
telnet IP-víctima
1214GET / HTTP/1.0
HTTP/1.1 200 OK
Content-Length: 40900
Accept-Ranges: bytes
Date: Fri, 12 Jul 2002 08:12:25 GMT
Server: KazaaClient Jul 12 2002 03:12:25
Connection: close
Last-Modified: Wed, 26 Jun 2002 14:14:36 GMT
X-Kazaa-Username: NOMBRE_DE_USUARIO_VICTIMA
X-Kazaa-Network: MusicCity
X-Kazaa-IP: 200.44.XX.XXX:1214
X-Kazaa-SupernodeIP: 24.168.48.42:1214
Content-Type: text/html
Para infectar esta red, el autor debe tener instalado el software propietario de Kazaa, luego conectarse a este servicio y ejecutar el archivo infectado, con lo cual también infectará el equipo que esté usando, que asumimos sea ajeno (cabina pública, estación de trabajo de un centro laboral o de estudios, etc.)
Una vez ejecutado el gusano, genera 36 copias de sí mismo en las siguientes carpetas:
C:\Archivos
de programa\KaZaa\my shared folder\
C:\Archivos de programa\kaZaa lite\my shared folder\
C:\My Downloads\
El gusano no crea ni realiza ninguna clase de modificaciones en el registro de Windows, pero genera los siguientes archivos en las carpetas compartidas de Kazaa, que son copias de sí mismo:
El gusano además reproduce 36 archivos con los nombres de su lista, con la extensión .URL en lugar de .EXE, en esa misma carpeta, los cuales intentan conectarse a dos portales de Brasil, recientemente clausurados:
Sus payloads no destructivos pero sí perniciosos son:
PER ANTIVIRUS® versión 8.0 con registro de virus al 28 de Abril del 2003 detecta y elimina eficientemente este gusano.
