|
W32/Ahker.F@mm, I.worm.Ahker.F@mm
Ahker.F es un destructivo gusano residente en memoria, reportado el 31 de Marzo del 2005, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, usando Asuntos y Contenidos aleatorios, con ingeniería social.Se propaga además vía la mayoría de redes Peer to Peer y el IRC (Internet Chat Relay).
Crea una variedad de llaves de registro que vulneran la configuración de seguridad del sistema, manipula el archivo HOSTS para impedir el acceso a sitios web relacionados a software de seguridad. Deshabilita la ejecución de programas, procesos y servicios.
Cambia el nombre del equipo, intenta ocasionar ataques DoS a dos importantes sitios web y aleatoriamente apaga el equipo.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con una extensión de variable y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El mensaje tiene las siguientes características:
Remitente, uno de los siguientes:
Asunto, uno de los siguientes:
Contenido:
Anexado: Clip.zip (archivo dropper que libera otros archivos)
Al ser activado se copia a la carpeta %Startup% como SVCHOST-.EXE y con el nombre LSASS al directorio raíz de la unidad C:\
Para ejecutarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\LSA Shell]
C:\LSASS.exe
%Startup% es una variable que corresponde a C:\Windows\Menú Inicio\Programas\Inicio en Windows 95/98/Me/XP y a C:\Documents and Settings\carpeta_del_usuario\Menú Inicio\Programas\Inicio en Windows NT\2000\XP.
Al siguiente inicio del equipo terminará cualquiera de los siguientes procesos que estuviesen en ejecución:
Para activarse cada vez que se abra un archivo de texto el gusano configura la siguiente llave:
[HKEY_CURRENT_USER\txtfile\Shell\open\command\@]
C:\LSASS.exe %1
El gusano intentará descargar una copia de sí mismo, con formato .ZIP desde una dirección web cifrada dentro de su código para enviarla a través de mensajes de correo masivo.
y cambiará el nombre de la computadora a "Agent Hacker"
Crea diversa llaves para deshabilitar diversos servicios tales como:
Para propagarse a través de las redes Peer to Peer se copia a todas las carpetas de archivos compartidos con los siguientes nombres:
Para difundirse vía el IRC (Internet Chat Relay) el gusano modifica el SCRIPT.INI del software mIRC en las carpetas C:\mIRC y C:\Archivos de programa\mIRC, e infectará con el archivo Nude Britney.exe a todos los usuarios que se conecten a una misma sesión de Chat.
Esta infección tendrá un efecto multiplicador, la próxima vez que cualquier usuario con su sistema ya infectado se conecte a una nueva sesión.
El gusano manipula el archivo HOSTS en la ruta %System%\drivers\etc\hosts, para impedir el acceso a a los siguientes portales:
El gusano intentará ocasionar un ataque DoS de Negación de Servicios a los sitios web:
Finalmente, en forma aleatoria apagará el equipo.
Este gusano crea un archivo .DAT con el siguiente texto:
| Don't blame me, Agent Hacker for creating these worms. BLAME www.rohitab.com! |
De igual modo agregará archivos de sistema seguidos de mensajes con sentido "soberbio":
PER ANTIVIRUS® versiones 9.1 y 9.2 con registro de virus al 31 de Marzo del 2005 detectan y eliminan eficientemente este gusano.
