|
W32/Gangbot
Gangbot es un gusano/backdoor reportado el 23 de Enero del 2007, que se propaga a través de servidores SQL configurados con contraseñas débiles, enviando un enlace HTTP a los usuarios de servicios de Mensajería Instantánea, con un archivo infectado.Aprovecha las vulnerabilidades del desbordamiento del buffer del Vector Markup Language de Microsoft, descrita en el Boletín MS06-055 y la Autenticación Remota del RealVNC, reportada por CVE (CVE-2006-2369).
Se conecta a un servidor IRC (Internet Chat Relay) y actúa como un Bot que ejecutará comandos y acciones malignas en forma remota.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/Me/NT/2000/XP y Server 2003, está desarrollado en MS Visual C++, con 124 KB de extensión.
Al activarse se copia con el nombre de Seagatecom.exe a la ruta:
%System%\dllcache\seagatecom.exe
y para ejecutarse la próxima vez que se re-inicie el sistema, crea la llave:
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Seagate Communication]
"imagePath" = "%System%\dllcache\seagatecom.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo crea un servicio con las características:
Service Name: SeagateCommunications
Display Name: Seagate Communications
Image Path: C:\windows\system32\dllcache\seagatecom.exe
Type: Automatic
Extrae contraseñas de páginas web, servidores FTP y los servicios de Mensajería Intantánea:
También se propaga al activar un servidor HTTP y un FTP en puertos TCP aleatorios.
Termina los procesos que tengan las siguientes cadenas:
Rastrea los servidores SQL configurados con contraseñas débiles e intenta ingresar usando una lista de usuarios y contraseñas:
Para información sobre las mencionadas vulnerabilidades visiste estos enlaces:
Actuando como Backdoor se conecta a través de puertos TCP que se encuentren abiertos, al servidor IRC cs3cilmis.secilmisler.com, desde el que activará un BOT que podrá ejecutar entre otras, las siguientes acciones:
PER ANTIVIRUS® versiones 9.9 y 10.0 con registro de virus al 23 de Enero del 2007 detecta y elimina eficientemente este gusano/backdoor.
