|
W32/Agobot.FQ, Troj/Gaobot.FQ
 |
Agobot.FQ
es un destructivo gusano/troyano/backdoor
reportado el 13 de Enero del 2004, que
infecta los sistemas con los archivos Sysinfo.exe y Winhlpp32.exe explotando
las vulnerabilidades del DCOM
RPC (Llamada Remota
de Procedimientos) y el Desbordamiento de Buffer del Servicio Localizador.
De igual modo ingresa a través de su propio servidor IRC (Internet Chat Relay). |
Termina los procesos de antivirus, firewalls y software de control dejando al sistema vulnerable a los virus y ataques de intrusos. Roba información del sistema y claves del Sistema Operativo y de populares juegos.
Además de enviar la información capturada y extraída de los sistemas atacados a un canal de Chat, el poseedor del Backdoor Cliente tomará el control de los mismos. Finalmente provoca ataques DoS a direcciones IP generadas aleatoriamente.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003 está desarrollado en MS Visual C++, con una extensión de 250 KB, comprimido con el utilitario UPX (Ultimate Packer for eXecutables) y encriptado con PCGuard.
Una vez ingresado el gusano se auto-copia a la carpeta %System% con los archivos de nombres Sysinfo.exe y Winhlpp32.exe. Para ejecutares la próxima vez que se re-inicie el sistema crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Configuration
Loader" = "%System%\Sysinfo.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
"Configuration
Loader" = "%System%\Sysinfo.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo el troyano termina los procesos de los siguientes antivirus, firewalls o programas de monitoreo que se encuentren instalados, dejando al sistema totalmente vulnerable a los virus y ataques de intrusos:
En el caso de que el sistema atacado estuviese infectado con los siguientes virus, terminará sus procesos:
Si el gusano encuentra un sistema con algunas de las vulnerabilidades, intenta conectarse a los sistemas remotos con recursos compartidos como Administrador Oculto Compartido (ADMIN$ share), buscando inicialmente los siguientes recursos compartidos:
En el caso que estas carpetas tengan todos los privilegios, el gusano se auto-copia a todos los recursos compartidos de la red.
Si no logra ingresar emplea cualquier nombre de Usuario que encuentre usando la función NetUserEnum() o intenta la técnica de "Acceso de Fuerza Bruta" haciendo uso de la siguiente lista:
Y las siguientes contraseñas:
Al ingresar sin restricciones, se copia y ejecuta en los sistemas vulnerados, procediendo a infectar las estaciones y unidades de red con recursos compartidos.
Actuando como Backdoor usa su propio servidor IRC (Internet Chat Relay) y si logra ingresar a los sistemas extrae las claves del sistema operativo Windows y las claves de los siguientes juegos de PC., en caso estuviesen instalados:
Finalmente el gusano ejecuta ataques DoS y de saturación HTTP, SYN o UPD hacia direcciones generadas en forma aleatoria, intentando colapsarlas.
Revisa las sub-redes de sistemas vulnerables y envía la lista de
sus correspondientes direcciones IP al hacker. Esta búsqueda se realiza a
través de los puertos TCP
80 (HTTP
o WWW), 135 (Edmap
o DCE End Point Resolution) y el
445 (Desbordamiento de Buffer del Servicio Localizador)
por la vulnerabilidad
DCOM
RPC (Llamada Remota
de Procedimientos), el Localizador RPC y el WebDav.
El parche para la vulnerabilidad DCOM
RPC puede ser descargado de:
http://www.microsoft.com/security/security_bulletins/ms03-026.asp
El parche para la vulnerabilidad DCOM RPC (desbordamiento del Buffer) puede ser descargado de:
http://www.microsoft.com/security/security_bulletins/ms03-001.asp
El parche para la vulnerabilidad WebDav puede ser descargado de:
http://www.microsoft.com/security/security_bulletins/ms03-007.asp
Los payloads de este troyano/backdoor son los siguientes:
PER ANTIVIRUS® versión 8.4 y 8.5 con registro de virus al 13 de Enero del 2004 detecta y elimina eficientemente este gusano/troyano/backdoor.
