|
RANTS.C gusano de Correo desestabiliza sistema operativo deshabilita antivirus etc. intenta infectar vía AOL.
|
|
© Jorge Machado Lima-Perú
|
|
W32/Rants.C@mm, I.worm.Rants.C@mm
Rants.C es un gusano residente en memoria, reportado el 27 de Julio del 2005, que se propaga a través de mensajes de Correo haciendo
uso de las librerías CDO (Collaboration Data Objects) que extrae los buzones de la Libreta Global de Direcciones de Windows,
incluyendo las de Outlook y aquellas basadas en la web para auto enviarse masivamente.
Usa también remitentes falsos, asuntos y contenidos de nombres aleatorios, con un archivo sys22.exe.
Termina procesos de antivirus, firewalls y software de control y disminuye la estabilidad del sistema operativo deshabilitando muchas funciones vitales. Intenta además infectar a través de la interfaz de usuarios de America Online.
Es un PE (Portable Ejecutable) e infecta Windows 98/Me/2000/XP incluyendo servidores NT/2000/Server
2003, está desarrollado en MS Visual C++, con una extensión de 23 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
http://upx.sourceforge.net
El gusano usa las librerías CDO (Collaboration Data Objects) inicialmente llamada
Active Messaging que extrae los buzones de la Libreta Global de Direcciones de Windows, incluyendo las de Outlook y aquellas basadas en la web.
Además de las direcciones de correo contenidas en los archivos con las extensiones:
- htt
- htm
- html
- hta
- hte
- phtml
- jsp
- sql
- eml
- ini
- tbb
- tbi
- txt
- dbx
- doc
- rtf
- asp
- xml
- stm
- htx
- shtml
El mensaje tiene las siguientes características:
Remitente, uno de los buzones extraídos del sistema o direcciones falsas con la técnica Spoofing :
- support@symantec.com
- support@microsoft.com
- update@microsoft.com
Asunto, aleatoriamente uno de los siguientes:
- This is our latest update you can download it to keep yourself secure.
- SP3 Update
- Latest Windows Update.
Contenido, uno de los siguientes:
- Update
- Secure your computer!
- Keep yourself secure!
- SP3 Update
Anexado: update32.exe
Al activarse en memoria, muestra la siguiente falsa caja de diálogo:
y se copia a la carpeta %System% como sys22.exe y para ejecutarse la próxima vez que se inicie el equipo agrega las siguientes llaves:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"sysX3" = "%System%\sys22.exe"
para disminuir la seguridad y estabilidad de MS Windows modifica los valores:
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
"AntiVirusDisableNotify" = "1"
en la sub-llave de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\security center
para impedir las actualizaciones del sistema agrega el valor:
"NoAutoUpdate" = "1"
a la sub-llave:
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
los valores:
"NMain.exe" = "1"
"taskmgr.exe" = "1"
"ZLCLIENT.EXE" = "1"
"regedit.exe" = "1"
"ccapp.exe" = "1"
en las sub-llaves:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun
para deshabilitar la Restauración agrega el valor:
"DisableSR" = "1"
a las sub-llaves:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\systemrestore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\systemrestore
para deshabilitar el Administrador de Tareas y las Herramientas de Registro:
"DisableTaskMgr" = "1"
"DisableRegistryTools" = "1"
en la sub-llave:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo ejecuta su rutina de envío masivo de mensajes de correo y termina los procesos de los siguientes programas de seguridad que estuviesen en ejecución:
- agentw.EXE
- _AVPM.EXE
- _AVPCC.EXE
- ACKWIN32.EXE
- AckWin32.EXE
- ADVXDWIN.EXE
- AGENTSVR.EXE
- BIDEF.EXE
- ALERTSVC.EXE
- ALOGSERV.EXE
- AMON9X.EXE
- ANTI-TROJAN.EXE
- ANTIVIRUS.EXE
- ANTS.EXE
- APIMONITOR.EXE
- APLICA32.EXE
- apvxdwin.EXE
- APVXDWIN.EXE
- ATCON.EXE
- ATGUARD.EXE
- ATRO55EN.EXE
- ATUPDATER.EXE
- DPF.EXE
- ATWATCH.EXE
- AUPDATE.EXE
- AUTODOWN.EXE
- AutoTrace.EXE
- AUTOUPDATE.EXE
- AVCONSOL.EXE
- AVGCC32.EXE
- Avgctrl.EXE
- AVGCTRL.EXE
- AvgServ.EXE
- AVGSERV.EXE
- AVGSERV9.EXE
- AVGW.EXE
- avkpop.EXE
- AvkServ.EXE
- avkservice.EXE
- avkwctl9.EXE
- AVP.EXE
- AVP32.EXE
- AVPCC.EXE
- AVPM.EXE
- avpm.EXE
- Avsched32.EXE
- AVSYNMGR.EXE
- AVWINNT.EXE
- AVXMONITOR9X.EXE
- AVXMONITORNT.EXE
- AVXQUAR.EXE
- AVXW.EXE
- BD_PROFESSIONAL.EXE
- BIDSERVER.EXE
- BIPCP.EXE
- BIPCPEVALSETUP.EXE
- BISP.EXE
- BLACKD.EXE
- blackd.EXE
- BLACKICE.EXE
- BlackICE.EXE
- BOOTWARN.EXE
- BORG2.EXE
- BS120.EXE
- ccApp.EXE
- ccEvtMgr.EXE
- ccPxySvc.EXE
- CDP.EXE
- CFGWIZ.EXE
- CFIADMIN.EXE
- CFIAUDIT.EXE
- CFINET.EXE
- CFINET32.EXE
- cleaner3.EXE
- CLEANPC.EXE
- CMGRDIAN.EXE
- CMON016.EXE
- CONNECTIONMONITOR.EXE
- CPD.EXE
- cpd.EXE
- Claw95.EXE
- CLAW95CF.EXE
- Claw95cf.EXE
- CLEAN.EXE
- CLEANER.EXE
- cleaner.EXE
- CLEANER3.EXE
- CPF9X206.EXE
- CPFNT206.EXE
- CTRL.EXE
- CV.EXE
- CWNB181.EXE
- CWNTDWMO.EXE
- defalert.EXE
- defscangui.EXE
- DEFWATCH.EXE
- DEPUTY.EXE
- DOORS.EXE
- DPFSETUP.EXE
- DRWATSON.EXE
- DRWEB32.EXE
- DVP95.EXE
- DVP95_0.EXE
- EFPEADM.EXE
- ENT.EXE
- ESCANH95.EXE
- ESCANHNT.EXE
- ESCANV95.EXE
- ETRUSTCIPE.EXE
- EVPN.EXE
- EXANTIVIRUS-CNET.EXE
- EXPERT.EXE
- fsav32.EXE
- F-AGNT95.EXE
- fameh32.EXE
- FAST.EXE
- fch32.EXE
- fih32.EXE
- FIREWALL.EXE
- FLOWPROTECTOR.EXE
- fnrb32.EXE
- F-PROT.EXE
- F-PROT95.EXE
- FP-WIN.EXE
- FP-WIN_TRIAL.EXE
- FRW.EXE
- fsaa.EXE
- FSAV.EXE
- SPF.EXE
- FSAV530STBYB.EXE
- FSAV530WTBYB.EXE
- FSAV95.EXE
- fsgk32.EXE
- fsm32.EXE
- fsma32.EXE
- fsmb32.EXE
- F-STOPW.EXE
- f-stopw.EXE
- GBMENU.EXE
- gbmenu.EXE
- gbpoll.EXE
- GBPOLL.EXE
- GENERICS.EXE
- GUARD.EXE
- GUARDDOG.EXE
- HACKTRACERSETUP.EXE
- HTLOG.EXE
- HWPE.EXE
- IAMAPP.EXE
- iamapp.EXE
- IAMSERV.EXE
- iamserv.EXE
- IAMSTATS.EXE
- ICLOAD95.EXE
- ICLOADNT.EXE
- ICMON.EXE
- ICSUPP95.EXE
- ICSUPPNT.EXE
- IFACE.EXE
- IFW2000.EXE
- IOMON98.EXE
- IPARMOR.EXE
- IRIS.EXE
- ISRV95.EXE
- JAMMER.EXE
- JEDI.EXE
- KAVLITE40ENG.EXE
- KAVPERS40ENG.EXE
- KAVPF.EXE
- KERIO-PF-213-EN-WIN.EXE
- KERIO-WRL-421-EN-WIN.EXE
- KERIO-WRP-421-EN-WIN.EXE
- KILLPROCESSSETUP161.EXE
- LDNETMON.EXE
- LDPRO.EXE
- LDPROMENU.EXE
- LDSCAN.EXE
- LOCALNET.EXE
- LOCKDOWN.EXE
- LOCKDOWN2000.EXE
- lockdown2000.EXE
- LSETUP.EXE
- LUALL.EXE
- LUAU.EXE
- LUCOMSERVER.EXE
- LUINIT.EXE
- LUSPT.EXE
- MCAGENT.EXE
- MCMNHDLR.EXE
- Mcshield.EXE
- MCTOOL.EXE
- MCUPDATE.EXE
- MCVSRTE.EXE
- MCVSSHLD.EXE
- MFW2EN.EXE
- MFWENG3.02D30.EXE
- MGAVRTCL.EXE
- MGAVRTE.EXE
- MGHTML.EXE
- MGUI.EXE
- MINILOG.EXE
- MONITOR.EXE
- Monitor.EXE
- MOOLIVE.EXE
- MPFAGENT.EXE
- MPFSERVICE.EXE
- MPFTRAY.EXE
- MRFLUX.EXE
- MSCONFIG.EXE
- MSINFO32.EXE
- MSSMMC32.EXE
- MU0311AD.EXE
- MWATCH.EXE
- NAV80TRY.EXE
- navapsvc.EXE
- SOFI.EXE
- NAVAPSVC.EXE
- NAVAPW32.EXE
- NAVDX.EXE
- NAVLU32.EXE
- NAVSTUB.EXE
- NAVW32.EXE
- Navw32.EXE
- NAVWNT.EXE
- NC2000.EXE
- NCINST4.EXE
- NDD32.EXE
- NEOMONITOR.EXE
- NeoWatchLog.EXE
- NETARMOR.EXE
- NETINFO.EXE
- NETMON.EXE
- NETSCANPRO.EXE
- NETSPYHUNTER-1.2.EXE
- NETSTAT.EXE
- NETUTILS.EXE
- NISSERV.EXE
- NISUM.EXE
- NMAIN.EXE
- NORMIST.EXE
- NORTON_INTERNET_SECU_3.0_407.EXE
- notstart.EXE
- NPF40_TW_98_NT_ME_2K.EXE
- PURGE.EXE
- NPFMESSENGER.EXE
- NPROTECT.EXE
- npscheck.EXE
- NPSSVC.EXE
- NSCHED32.EXE
- ntrtscan.EXE
- NTVDM.EXE
- NTXconfig.EXE
- Nui.EXE
- Nupgrade.EXE
- NVARCH16.EXE
- NVC95.EXE
- nvsvc32.EXE
- NWINST4.EXE
- NWService.EXE
- NWTOOL16.EXE
- OSTRONET.EXE
- OUTPOST.EXE
- OUTPOSTINSTALL.EXE
- OUTPOSTPROINSTALL.EXE
- PADMIN.EXE
- PANIXK.EXE
- pavproxy.EXE
- PAVPROXY.EXE
- PCC2002S902.EXE
- PCC2K_76_1436.EXE
- PCCIOMON.EXE
- pccntmon.EXE
- pccwin97.EXE
- PCCWIN98.EXE
- PCDSETUP.EXE
- PCFWALLICON.EXE
- PCIP10117_0.EXE
- pcscan.EXE
- PDSETUP.EXE
- PERISCOPE.EXE
- PERSFW.EXE
- PERSWF.EXE
- PF2.EXE
- PFWADMIN.EXE
- PINGSCAN.EXE
- PLATIN.EXE
- PSPF.EXE
- POP3TRAP.EXE
- POPROXY.EXE
- POPSCAN.EXE
- PORTDETECTIVE.EXE
- PORTMONITOR.EXE
- PPINUPDT.EXE
- PPTBC.EXE
- PPVSTOP.EXE
- PROCESSMONITOR.EXE
- PROCEXPLORERV1.0.EXE
- PROGRAMAUDITOR.EXE
- PROPORT.EXE
- PROTECTX.EXE
- PVIEW95.EXE
- QCONSOLE.EXE
- QSERVER.EXE
- rapapp.EXE
- RAV7.EXE
- RAV7WIN.EXE
- RAV8WIN32ENG.EXE
- REALMON.EXE
- REGEDIT.EXE
- REGEDT32.EXE
- RESCUE.EXE
- RESCUE32.EXE
- RRGUARD.EXE
- RSHELL.EXE
- RTVSCN95.EXE
- RULAUNCH.EXE
- SAFEWEB.EXE
- SBSERV.EXE
- sbserv.EXE
- SCAN32.EXE
- SCRSCAN.EXE
- SD.EXE
- SETUP_FLOWPROTECTOR_US.EXE
- SETUPVAMEEVAL.EXE
- SFC.EXE
- SGSSFW32.EXE
- SH.EXE
- SHELLSPYINSTALL.EXE
- SHN.EXE
- SMC.EXE
- SPHINX.EXE
- Sphinx.EXE
- SPYXX.EXE
- SS3EDIT.EXE
- ST2.EXE
- SUPFTRL.EXE
- SUPPORTER5.EXE
- SWEEP95.EXE
- SweepNet
- SWEEPSRV.SYS
- SWNETSUP.EXE
- SYMPROXYSVC.EXE
- SymProxySvc.EXE
- SYMTRAY.EXE
- SYSEDIT.EXE
- TASKMON.EXE
- TAUMON.EXE
- TC.EXE
- TCA.EXE
- TCM.EXE
- TDS2-98.EXE
- TDS2-NT.EXE
- TDS-3.EXE
- TFAK.EXE
- TFAK5.EXE
- TGBOB.EXE
- TITANIN.EXE
- TITANINXP.EXE
- TRACERT.EXE
- TRJSCAN.EXE
- TRJSETUP.EXE
- VETTRAY.EXE
- TROJANTRAP3.EXE
- UNDOBOOT.EXE
- UPDATE.EXE
- VBCMSERV.EXE
- vbcmserv.EXE
- rtvscan.EXE
- VBCONS.EXE
- VbCons.EXE
- VBUST.EXE
- VBWIN9X.EXE
- VBWINNTW.EXE
- VCSETUP.EXE
- VET32.EXE
- VET95.EXE
- Vet95.EXE
- esafe*
- VetTray.EXE
- VFSETUP.EXE
- VIR-HELP.EXE
- VIRUSMDPERSONALFIREWALL.EXE
- VNLAN300.EXE
- VNPC3000.EXE
- VPC32.EXE
- VPC42.EXE
- VPFW30S.EXE
- VPTRAY.EXE
- VSCENU6.02D30.EXE
- VSCHED.EXE
- VSECOMR.EXE
- vshwin32.EXE
- VSISETUP.EXE
- VSMAIN.EXE
- VSMON.EXE
- vsmon.EXE
- VSSTAT.EXE
- VSWIN9XE.EXE
- VSWINNTSE.EXE
- VSWINPERSE.EXE
- W32DSM89.EXE
- W9X.EXE
- WATCHDOG.EXE
- WEBSCANX.EXE
- WEBTRAP.EXE
- WGFE95.EXE
- WHOSWATCHINGME.EXE
- WIMMUN32.EXE
- WINRECON.EXE
- WNT.EXE
- WRADMIN.EXE
- WrAdmin.EXE
- WRCTRL.EXE
- WrCtrl.EXE
- WSBGATE.EXE
- WYVERNWORKSFIREWALL.EXE
- XPF202EN.EXE
- ZAPRO.EXE
- zapro.EXE
- ZAPSETUP3001.EXE
- ZATUTOR.EXE
- ZAUINST.EXE
- ZONALM2601.EXE
- ZONEALARM.EXE
- zonealarm.EXE
- AVGNT.EXE
- ccapp
- AVGUARD.EXE
- AVWUPSRV.EXE
- _avp*
- ackwin32*
- anti-trojan*
- aplica32*
- apvxdwin*
- autodown*
- avconsol*
- ave32*
- avgcc32*
- avgctrl*
- avgw*
- avkserv*
- avnt*
- avp*
- avsched32*
- avwin95*
- avwupd32*
- blackd*
- blackice*
- bootwarn*
- ccapp*
- ccshtdwn*
- cfiadmin*
- cfiaudit*
- cfind*
- cfinet*
- claw95*
- dv95*
- ecengine*
- efinet32*
- espwatch*
- f-agnt95*
- findviru*
- fprot*
- f-prot*
- fprot95*
- f-prot95*
- fp-win*
- frw*
- f-stopw*
- gibe*
- iamapp*
- iamserv*
- ibmasn*
- ibmavsp*
- icload95*
- icloadnt*
- icmon*
- icmoon*
- nmain*
- icssuppnt*
- icsupp*
- iface*
- iomon98*
- jedi*
- kpfw32*
- lockdown2000*
- lookout*
- luall*
- moolive*
- mpftray*
- msconfig*
- nai_vs_stat*
- navapw32*
- navlu32*
- navnt*
- navsched*
- navw*
- nisum*
- normist*
- nupdate*
- nupgrade*
- nvc95*
- outpost*
- padmin*
- pavcl*
- pavsched*
- pavw*
- pcciomon*
- pccmain*
- pccwin98*
- pcfwallicon*
- persfw*
- pop3trap*
- pview*
- rav*
- regedit*
- rescue*
- safeweb*
- serv95*
- sphinx*
- sweep*
- tca*
- tds2*
- vcleaner*
- vcontrol*
- vet32*
- vet95*
- vet98*
- vettray*
- vscan*
- vsecomr*
- vshwin32*
- vsstat*
- webtrap*
- wfindv32*
- zapro*
- zonealarm*
- McVSEscn*
- mcvsrte*
- mcvsftsn*
- mcvsshld*
a través de la interfaz de usuarios de America Online intenta enviar dos mensajes direccionando a dos enlaces en Internet, actualmente deshabilitados.
PER ANTIVIRUS® versiones 9.3 y 9.4 con registro de virus al 27 de Julio del 2005 detectan y eliminan este gusano.
