|
Trojan.Mitglieder.L
 |
Mitglieder.L
es
un troyano reportado el 09 de Junio del 2004, que ingresa furtivamente a los
sistemas a los cuales usa como un falso servidor de correo SMTP
(Simple Mail Transfer Protocol) para enviar
mensajes masivos bajo la modalidad de SPAM.
Asimismo termina los procesos de antivirus, firewalls y software de control. |
Puede ser enviado directamente vía Telnet, o través de cualquiera de los servicios de Internet, tales como HTTP, Correo, FTP, Mensajería instantánea, redes P2P, ICQ, etc. o descargado de una página web infectada.
Intenta conectarse a determinados sitios en la web tratando de establecer contacto con el autor del virus.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Assembler, con una extensión de 9 KB.
Al ser ejecutado se auto-copia a la carpeta %System% con el nombre de Windll32.exe y para ejecutarse la próxima vez que se inicie el sistema modifica la siguiente llave de registro:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"windll32.exe" = "%System%\windll32.exe"
También genera las siguientes entradas de
registro:
[HKEY_CURRENT_USER\SOFTWARE\Frame\pid=[ID_de_Proceso]
[HKEY_CURRENT_USER\SOFTWARE\Frame\uid=[Valor_alfanumérico_aleatorio]
[HKEY_CURRENT_USER\SOFTWARE\Frame\port=[Puerto_Proxy_de_Escucha]
Al siguiente re-inicio el troyano termina los procesos de los siguientes antivirus, firewalls o programas de monitoreo que se encuentren instalados, dejando al sistema totalmente vulnerable a los virus y ataques de intrusos:
El troyano configura un proxy de escucha y habilita un falso servidor de correo no deseado (Mail Relay) a través de un puerto que por defecto es el TCP 39999 (no asignado) empleado por lo general para el envío de SPAM.
El troyano intenta conectarse a una determinada página de cualquiera de los siguientes sitios web con el objeto de descargar un archivo con código maligno y para notificar al autor del virus:
(Actualmente la mayoría de estos portales han sido restringidos o deshabilitados)
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.7 con registro de virus al 09 de Junio del 2004 detecta y elimina este troyano.
