|
Troj/Mdropper.Z
Mdropper.Z es un troyano/backdoor de origen chino, reportado el 11 de Octubre del 2007, residente en memoria, que se propaga a través de diversos servicios de Internet, incluyendo mensajes de correo electrónico con el Asunto hope see again.docInfecta a Windows 2000/XP/Vista y Server 2003 y está esarrollado con el generador Hacktool Rootkit, con 117KB de extensión.
Explota una vulnerabilidad de corrupción de memoria en el area de trabajo de ejecución de código remoto en MS Word 2000 y XP que permite descargar y ejecutar un archivo con código arbitrario, lo cual ocasiona que MS Word 2003 colisione y termine su proceso en forma automática.
Esta vulnerabilidad habría sido parcialmente corregida en el boletín:
Microsoft Security Bulletin MS07-060
Luego el troyano crea en %Temp% el archivo:
%Temp%\csrse.exe, que es un "dropper"
el cual libera otro "dropper" en:
%System%\msmsgs.exe
el cual libera los siguientes archivos en las rutas:
%Temp% es la variable C:\Windows\Temp en Windows 95/98/Me, C:\Winnt\Temp en Windows NT\2000 y C:\Document and Settings\[nombre_de _usuario]\Local Settings\Temp en Windows XP/Server 2003.
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Para ejecutarse la próxima vez que se re-inicie el sistema crea la llave de registro:
[HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folder]
"Startup" = "C:\Documents and Settings\All Users\Application Data\Microsoft\Comon\ctfmon.exe"
Al siguiente inicio del equipo, el troyano
ejecuta sus archivos Rootkit
para deshabilitar en forma oculta los antivirus y firewalls que se
encuentren instalados en el sistema infectado.
Crea y ejecuta en la carpeta %Temp%
el archivo "hope see again.doc"
que es un documento MS Word inocuo,
escrito en idioma chino.
Finalmente a través del puerto TCP 80 (HTTP) activa un
Backdoor y se
conecta al sub-dominio ubicado en Beijing, China:
http://www.roudan.3322.org
al cual enviará la información extraída del sistema, pudiendo ejecutar comandos arbitrarios en forma remota.
PER ANTIVIRUS® versiones 10.2 y 10.3 con registro de virus al 11 de Octubre del 2007 detectan y eliminan este troyano/bakdoor.
