|
W32/Rbot.CBJ
|
Rbot.CBJ es un gusano/backdoor reportado el 16 de Agosto del 2005, que se propaga a través del redes con recursos compartidos, configuradas con contraseñas débiles y
aprovecha las vulnerabilidades LSASS y del Servicio Plug and Play descritas en los Boletines MS04-011 y MS05-039 de Microsoft Corporation.
Se conecta a un servidor IRC (Internet Chat Relay) y actúa como un Bot que ejecutará comandos y acciones nocivas y destructivas en forma remota. |
Es un PE (Portable Ejecutable) e infecta Windows 98/Me/2000/XP incluyendo servidores NT/2000/Server 2003, desarrollado en MS Visual C++, con 53.5 KB de extensión.
Al activarse se copia a la carpeta %System% con el nombre de Svnlitup32.exe y para ejecutarse la próxima vez que se re-inicie el sistema agrega el valor:
"svnlitup32" = "%System%\svnlitup32.exe"
a las siguientes llaves de registro
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
hace lo propio a las sub-llaves:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]
[HKEY_CURRENT_USER\Software\Microsoft\OLE]
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio rastrea redes con recursos compartidos configuradas con contraseñas débiles usando una lista de nombres de usuarios y contraseñas:
En caso de lograr ingresar libera una copia de sí mismo en la carpeta compartida oculta C$, que es el equivalente a la unidad C:\ en sistemas operativos configurados normalmente.
Luego rastrea en forma aleatoria los sistemas vulnerables al desbordamiento del buffer LSASS y al Servicio Plug and Play, cuya información y parches puedes ser descargados desde:
Actuando como Backdoor se conecta a través de puertos que se encuentren abiertos a un servidor IRC cifrado en su código, desde el que activará un BOT que puede ejecutar entre otras, las siguientes acciones:
PER ANTIVIRUS® versión 9.4 con registro de virus al 16 de Agosto del 2005 detecta y elimina eficientemente este gusano/backdoor.
