PLUX, troyano/backdoor, deshabilita antivirus, firewalls, etc. captura y envía información vía ICQ.  

© Jorge Machado  Lima-Perú

Troj.Backdoor/Plux

Plux es un peligroso troyano/backdoor reportado el 07 de Marzo del 2003, que ingresa por cualquier puerto TCP que se encuentre abierto, a través de varios servicios de Internet tales como ICQ, Rastreadores de puertos, HTTP, etc. con un falso archivo Svchost.exe de 51 KB. Toma control remoto de los sistemas, incluyendo los servidores.

Deshabilita antivirus, firewalls, software de control y herramientas de seguridad. Captura información y la envía al Centro Unificado de Mensajes ICQ del hacker. 

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP, está desarrollado en Visual C++ y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net 

Al ejecutarse libera 3 componentes y se auto-copia al directorio %Windir% y a la carpeta %System% con los nombres de archivos:

El Svchost.exe (Service Host Process) es un archivo de host genérico, para los servicios que se ejecutan desde las librerías DLL (Dynamic Link Library). El mismo se instala por defecto en la carpeta %SystemRoot%\System32. 

El falso Svchost.exe tomará control de la ejecución de los servicios en el sistema infectado.

Para activarse la siguiente vez que se inicie Windows crea la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Run]
COM Service = "%System%\COM\mscom32.com"

También crea esta llave:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components]
{45DD0432-AA51-31EF-EEFA-06AA12E6115C}/StubPath = %System%\wbem\wb.com

%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP y C:\Winnt en Windows NT\2000.

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP.

La activación de estos archivos en las llaves creadas aseguran al hacker poseedor del Backdoor Cliente el absoluto control de los procesos de Instalación, Servicios y Procesos en los sistemas infectados. 

Una vez activado, el gusano terminará con los procesos de los siguientes antivirus, firewalls o programas de monitoreo que se encuentren instalados:

El componente Backdoor capturará y enviará mensajes con la información del sistema atacado, al ICQ Unified Messaging Center (Centro Unificado de Mensajes ICQ), al cual puede acceder el hacker registrado desde varios  medios incluyendo su dirección asignada HTTP, enviada a su PC, beeper, teléfono celular, agenda electrónica, etc. con acceso a Internet directo vía módem , LAN o inalámbrico (Wireless). 

Los payloads de este troyano/backdoor son los siguientes:

PER ANTIVIRUS® versión 7.9 con registro de virus al 07 de Marzo del 2003 detecta y elimina  eficientemente este troyano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS