|
W32/Randex.EUS
|
Randex.EUS es un gusano/backdoor reportado el 17 de Agosto del 2005, que se propaga a través del redes con
recursos compartidos, configuradas con contraseñas débiles, con un archivo de nombre Sfool.exe
A través del puerto TCP 4095 se conecta a uno de dos servidores IRC (Internet Chat Relay) correspondientes a un portal alusivo al sistema operativo Debian GNU/Linux, desde donde ejecutará acciones nocivas y destructivas en forma remota. |
Es un PE (Portable Ejecutable) e infecta Windows 95/98/Me/2000/XP incluyendo servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con 53.5 KB de extensión.
Al activarse se copia a la carpeta %System% con el nombre de Sfool.exe y para ejecutarse la próxima vez que se re-inicie el sistema agrega el valor:
"mssfos" = "%System%\sfool.exe"
a las siguientes llaves de registro
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Crea el Mutex "nasa" para impedir infectar el sistema más de una vez y eventualmente muestra un falso mensaje de advertencia.
Al siguiente inicio rastrea redes con recursos compartidos configuradas con contraseñas débiles usando una lista de passwords:
En caso de lograr ingresar copia el archivo Sfool.exe a las siguientes rutas:
Actuando como Backdoor se conecta a través de puertos TCP 4095 a los siguientes servidores IRC:
ambos correspondientes a un portal alusivo al sistema operativo Debian GNU/Linux, perteneciente a un grupo de desarrolladores de origen francés e italiano.
desde los cuales el Backdoor podrá ejecutar las siguientes acciones:
PER ANTIVIRUS® versión 9.4 con registro de virus al 17 de Agosto del 2005 detecta y elimina eficientemente este gusano/backdoor.
