|
W32/Naco@mm, Troj/Naco
Naco es un destructivo gusano/troyano/backdoor reportado el 20 de Mayo del 2003, que se propaga vía mensajes de correo con diversos Asuntos, un mismo Contenido y el archivo anexado de nombre anakon.jpg.
También se difunde a través de las populares redes Peer to Peer Kazaa, BearShare, eDonkey, Morpheus, Grokster y LimeWire y actúa como troyano/backdoor de control remoto.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual Basic con una extensión de 28.5 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Su autor es el hacker de origen malasio, conocido como Melhacker y la muestra fue enviada por un miembro del portal de Indonesia:
http://www.indovirus.net
(actualmente clausurado)Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface) se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS Outlook, con las siguientes características:
Asunto, uno de los siguientes:
Do you happy?
Riyadh Issue: Al-Qaeda vs FBI
Osama Bin Laden Come Back!
Al-Qaeda News: Bombing Mission Success!
Check This Out!
Re: can mali can!
Al-Qaeda Team Entertainment News
[AQTE News]
Al-Jazeera: AQTE Come back!
Hi, may I read your mind?
Acheh Issue: What Solution!
Saddam Hussein Still alive
Iraqi people don't want US Control.
Let's Iraqi people build their country.
Download New 256-Bit Encryption Software
Alert! W32.HLLW.Anacon@mm Worm Has been detected!
Register you Windows Now!
Get free update Microsoft Windows Media Player
TIPS: How to hide your IP Address!
How to Protect you PC from Hackers!
Contenido:
Hi dear, Once I was first saw you, I was fall in love! Even you are already has special friend!
Fall In Love,
Rekcahlem ~=~ Anacon
Anexado: anakon.jpg
Al ejecutar el archivo infectado, el gusano se autocopia a la carpeta %System% como anacon.exe y para activarse la próxima vez que se inicie el sistema genera las siguientes llaves de registro, en forma aleatoria:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"AHU" = "%System%\anacon.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
"Hvewsveqmg" = "%System%\anacon.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Cvfjx" = "%System%\anacon.exe"
Asimismo agrega las siguientes llaves con el propósito de compartir los recursos de la unidad C:, además de usarlas como marcadores o "switches" de ejecución:
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\lanmanserver\Shares]
"HACKERz" = ""
[HKEY_LOCAL_MACHINE\System\ControlSet002\Services\lanmanserver\Shares]
"HACKERz" = ""
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\lanmanserver\Shares]
"HACKERz" = ""
%System%
es la variable C:\Windows\System para
Windows 95/98/Me, C:\Winnt\System32 para
Windows NT/2000 y C:\Windows\System32
para Windows XP y Windows Server 2003.
Al siguiente re-inicio del sistema, el gusano terminará los procesos de la siguiente lista de antivirus, firewalls, software de control, seguridad y sus archivos asociados:
Para infectar a través de las redes Peer to Peer, el gusano se copia a las siguientes rutas, en caso éstas existan en el sistema infectado:
Con los siguientes nombres de archivos:
Actuando como troyano/backdoor, se conecta con el hacker que emplea puertos aleatorios, presumiblemente con el freeware rastreador NMapWin, permitiéndole tomar control de los sistemas infectados en forma remota.
Dentro del cuerpo del gusano se puede leer estas cadenas de texto:
| I WARN TO YOU! DON'T PLAY STUPID WITH ME! ANACON MELHACKER WILL SURVIVE!, Anacon, Melhacker, Dincracker, PakBrain and AQTE Anacon G0t ya! By Melhacker - The Real Hacker! |
Los payloads de este gusano/troyano/backdoor son los siguientes:
PER ANTIVIRUS® versiones 8.0 y 8.1, con registro de virus al 20 de Mayo del 2003 detectan y eliminan eficientemente este gusano/troyano/backdoor.
Nota: existe una diferencia de 12 horas entre Perú (-5 GMT) e Indonesia (+7 GMT)
