|
W32/Lolol.B, I.worm.B.Lolol
LOLOL.B es un gusano variante del Lolol.A, reportado el 05 de Enero del 2003, que se propaga masivamente entre los usuarios de la red Kazaa, con un archivo de nombre winsys.exe y cuya peligrosidad radica en contener un backdoor que toma el control de los equipos infectados a través de canales IRC (Internet Chat Relay).
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000, incluyendo los servidores NT/2000. Ha sido desarrollado en Visual C++ con una extensión promedio de 58 KB.
La red compartida P2P (peer to peer) Kazaa es muy famosa y popular, ya que permite descargar videos, música MP3, fotografías y archivos de grupos musicales e intérpretes, a miles de usuarios, en forma simultánea. Para ello es necesario instalar en el sistema su software propietario, el mismo que abre en la computadora del usuario el puerto 1214, el cual permite acceder a los equipos.
A fines del 2002 Kazaa, Morpheus y otras corporaciones que ofrecen archivos compartidos fueron denunciados por la Asociación de la Industria Discográfica Americana (RIAA), la Asociación Nacional de Editores Musicales de América y la Asociación de Cine Americana, ante un juzgado estadounidense y podrían terminar acusados y sentenciados como Napster.
Al infectar un sistema el gusano se auto-copia a la carpeta %System% con el nombre de winsys.exe y agrega este archivo a las siguientes llaves de registro para activarse en el siguiente reinicio del sistema:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
Configuration Loader =
%System%\winsys.exe
[HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
Configuration Loader =
%System%\winsys.exe
%System% es
la variable C:\Windows\System para Windows
95/98/Me, C:\Winnt\System32 para Windows
NT/2000 y C:\Windows\System32 para Windows
XP.
Una vez ejecutado el gusano se auto-copia a las siguientes
carpetas, con una variedad de nombres:
C:\Archivos de programa\KaZaa\my shared folder\ C:\Archivos de programa\kaZaa lite\my shared folder\ C:\My Downloads\
Las copias generadas con atractivos nombres de archivos, contienen además el Servidor del backdoor que se conectará vía Chat al backdoor Cliente que podrá tomar el control de los sistemas infectados:
Para difundirse por el IRC (Internet Chat Relay) el gusano sobre-escribe el SCRIPT.INI del software mIRC con su código viral, en la carpetas C:\mIRC y C:\Archivos de programa\mIRC. Este archivo infectado busca un canal de Chat aleatorio desde el cual, no solamente infectará a todos los usuarios que se conecten a una misma sesión, sino que además liberará su software backdoor de control remoto.
Sus payloads son destructivos:
PER ANTIVIRUS® versión 7.8 con registro de virus al 10 de Diciembre del 2002 detecta y elimina eficientemente este gusano/backdoor y sus variantes existentes y por crearse, gracias a una rutina heurística específica para esta familia de virus.
