KRYNOS.B gusano/backdoor de Correo y redes P2P con ingeniería social bloquea acceso a webs de antivirus.  

© Jorge Machado  Lima-Perú

W32/Krynos.B@mm, I.worm.Krynos.B@mm

Krynos.B es un gusano/backdoor residente en memoria, reportado el 29 de Marzo del 2005, de propagación masiva a través de un mensaje de Correo que usa la denominada "ingeniería social" ya que simula ser enviado por Microsoft con una supuesta actualización.

También se difunde vía la mayoría de redes Peer to Peer.

Modifica el archivo HOSTS para impedir el acceso vía Internet a los sitios web relacionados a antivirus. 

Es un PE (Portable Ejecutable) e infecta Windows NT/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en C++, con una extensión de 57 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows o archivos con las siguientes extensiones:

Evitando enviarse a las direcciones que tengan una de las cadenas:

El mensaje tienen las siguientes características: 

Remitente: security@microsoft.com 
Asunto: Microsoft Security Update

Contenido:

"Vulnerability in Windows Explorer Could Allow Remote Code Execution (612827)" 
Affected Software: 
Impact of Vulnerability: Remote Code Execution 
Importance: High 
Maximum Severity Rating: Critical 
Recommendation: Customers should apply the attached update at the earliest opportunity 
Summary: 
Who should read this document: Customers who use Microsoft Windows 
X-Mailer: Secure Microsoft Client, Build 2.1 
X-MimeOLE: Produced By Secure Microsoft Client V2.1 
X-MSMail-Priority: High 
X-Priority: 1 (Highest) 

Anexado, Document con una de las siguientes extensiones:

Al activarse el gusano se desempaqueta en memoria y copia al directorio %Windir% en las siguientes rutas y con los nombres:

luego muestra la siguiente falsa caja de diálogo:

y para ejecutarse la próxima vez que se inicie el equipo agrega la siguiente llave:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Service Host Process" = "%Windows%\Help\svchost.exe"

%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.

Al siguiente re-inicio del sistema el gusano verifica la existencia del mutex NlsCacheMutant, para de ese modo evitar ejecutarse e infectar el sistema más de una vez. 

Antes de iniciar su rutina de envío de correo masivo invoca a través del navegador al dominio www.google.com para asegurarse que el equipo infectado esté conectado a Internet y de comprobarlo procede a auto-enviarse. 

Luego el gusano modifica el archivo HOSTS en la ruta %System%\drivers\etc\hosts para impedir el acceso a las siguientes direcciones relacionadas a sitios web de antivirus:

Para propagarse vía las redes Peer to Peer libera una copia de sí mismo con el nombre Document.zip y se copia a las siguientes carpetas:

Actuando como Backdoor se conecta a un determinado canal de del IRC cuyo nombre se encuentra cifrado dentro del código del virus, y desde el cual recibirá comandos e instrucciones, pudiendo realizar entre otras, las siguientes acciones:

PER ANTIVIRUS® versiones 9.1 y 9.2 con registro de virus al 29 de Marzo del 2005 detectan y eliminan este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS