Al ingresar a un sistema en Windows
NT/2000/XP libera en el directorio %Windir%
los siguientes archivos:
- lasvr32.exe (el
gusano en sí)
- lasvr32.dll
(librería componente DLL
del gusano)
- mofei.cfg
(contiene su configuración en forma encriptada)
Al liberar estos archivos el gusano se ejecuta como un
servicio y al no tener una rutina de control de ejecución se activa en memoria
en repetidas oportunidades, disminuyendo la memoria RAM del sistema infectado.
Luego este gusano inserta su código viral en el
programa LSASS.EXE y ejecuta su propio servicio como "Smart Card
Helper", imitando al un verdadero servicio del mismo nombre.
Comprueba entonces si está presente el servicio Smart
Card. Si es así, modifica la correspondiente entrada en el registro para que el
servicio apunte a su copia:
[
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SCardDrv]
"ImagePath" =
"%System%\lasvr32.exe -v"
De este modo el registro apunta originalmente al
verdadero SCARDSVR.EXE, pero modificado para
apuntar a LASVR32.EXE.
Al estar activo en la memoria el gusano se conecta, con
determinados intervalos, a las siguientes direcciones, a través de los puertos 1080
o 8080:
- google.ods.org
- windowsupdate.daemon.sh
En Windows 95/98/Me el gusano
libera en la carpeta %System%
los siguientes archivos:
- navpw32.exe (el gusano en
sí)
- mofei.cfg
- mofei.id
(archivo de identificación
del gusano)
- mofei.mis
- lasvr32.exe (copia
del
gusano)
- lasvr32.dll (librería
componente DLL
del gusano)
Y para ejecutares la próxima
vez que se inicie el sistema crea la llave de registro:
[
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run]
"
NavAgent32" = "%System%\lasvr32.exe -v"
%Windir% es una variable que corresponde
a C:\Windows en Windows 95/98/Me/XP/Server
2003 y C:\Winnt en Windows NT\2000.
%System% es la variable C:\Windows\System
para Windows 95/98/Me, C:\Winnt\System32
para Windows NT/2000 y C:\Windows\System32
para Windows XP y Windows Server 2003.
Luego el gusano intenta propagarse en las
Redes aprovechando la vulnerabilidad de los recursos compartidos Admin$ e
IPC$:
NOTA: Un intruso puede establecer una comunicación
válida con el servidor, conectándose al IPC$ como null,
sin necesidad de introducir el nombre del Usuario o la Clave de Acceso.
Para ello utiliza el siguiente comando:
C:\>net use \\[IP_del_equipo]\IPC$ "" /user:""
ADMIN$ es el recurso que utiliza el sistema durante la administración remota de
los equipos, siendo siempre su ruta de acceso la Raíz del sistema.
El gusano intenta identificar a sus víctimas generando una lista de
direcciones IP más alguna otra dirección IP contenida en su propio código. A
continuación intenta conectarse a las máquinas que se encuentren en esas
direcciones. Si hay conexión, intentará entrar en ellas como administrador
usando los siguientes passwords predefinidos:
Asimismo intenta conectarse a la Red como
Administrador usando la siguiente lista de Claves de Acceso:
