|
W32/Fubalca
Fubalca es un destructivo gusano residente en memoria, reportado el 02 de Abril del 2007 que se propaga a través de servicios de Internet, tales como HTTP, redes de compartimiento de archivos, mensajes de correo, etc.Explota la vulerabilidad de los archivos .ANI del Microsoft Animated Cursor (ANI), de acuerdo a Security Focus (23194)
Infecta archivos ejecutables de todas las carpetas raíz de las unidades de disco, dejándolos inoperativos. Modifica el archivo HOSTS y la configuración del Internet Explorer, además del Notepad.exe.
Infecta Windows 95/98/Me/NT/2000/XP y está programado en Assembler con 12.5KB de extensión.
Al ser activado crea un Mutex de nombre MyInfect, para evitar infectar un sistema más de una vez.
y se copia a la carpeta %System% con los nombres:
copia además al directorio raíz de todas las carpetas de la unidades de disco de la C:\ a la Z:\ los archivos:
para ejecutarse la próxima vez que se re-inicie el sistema crea la llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"System Boot Check" = "%System%\sysload3.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo el gusano inserta su código viral en el Notepad.exe e Internet Explorer.exe de Windows.
descarga un archivo de configuración .css desde el siguiente URL:
http://a.2007ip.com/css[Censurado]
también desde una URL ubicada en Zhejiang, China descarga y ejecuta los siguientes archivos:
http://61.153.247.76/cald/01.[Censurado]
http://61.153.247.76/cald/02.[Censurado]
http://61.153.247.76/cald/03.[Censurado]
http://61.153.247.76/cald/04.[Censurado]
http://61.153.247.76/cald/05.[Censurado]
http://61.153.247.76/cald/06.[Censurado]
http://61.153.247.76/cald/07.[Censurado]
los archivos descargados son copias de Infostealer.Gampass o Infostealer.Perfwo.
para cambiar la configuración del Internet Explorer crea las llaves:
[HKCU\Software\Microsoft\Internet Explorer\Main\
[HKCU\Software\Microsoft\Internet Explorer\Main\Start Page]
El archivo de configuración descargado de http://if.iloveck.com/test/hos[Censurado], reemplaza al archivo HOSTS en los URLs:
infecta además los archivos ubicados en todas las unidades de disco, que tengan las siguentes extensiones:
el gusano explota la vulnerabilidad de los archivos .ANI del Microsoft Animated Cursor.
PER ANTIVIRUS® versión 10.0 con registro de virus al 02 de Abril del 2007 detecta y elimina este gusano.
