|
W32/Rbot.OU@mm, I.worm.Rbot.OU@mm
Rbot.OU es un destructivo gusano/backdoor residente en memoria reportado el 05 de Junio del 2006, que se propaga a través de mensajes de Correo con asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.Se propaga además vía redes con recursos compartidos configuradas con contraseñas débiles, redes Peer to Peer, aprovecha vulnerabilidades de los sistemas, abre un Backdoor usando puertos TCP aleatorios, se conecta a un servidor del IRC (Internet Relay Chat) uniéndose a un canal que es controlado por un BOT, desde donde recibirá instrucciones y comandos en forma remota.
Ejecuta ataques de Denegación de Servicios (DoS) o saturación con diversos métodos.
Es un PE (Portable Ejecutable) e infecta Windows 98/Me/NT/2000/XP y Server 2003, está desarrollado en MS Visual C++, con una extensión de 137KB y comprimido y encriptado con el utilitario de fabricación alemana Obsidium:
http://www.obsidium.de/show.php?details
El gusano extrae los buzones de correo de la Libreta de Direcciones de Windows, la carpeta temporal de archivos de Internet o de archivos con las extensiones:
Haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se envía masivamente en mensajes con las siguientes características:
Remitente, uno de los buzones extraídos del sistema o direcciones falsas empleando la técnica Spoofing :
Asunto, aleatoriamente uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de estos nombres:
con una de las siguientes extensiones:
Al activarse se copia a la carpeta %System% con el nombre de Speeder.exe y para ejecutarse la próxima vez que se re-inicie el sistema agrega la siguiente llave:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ISPup" = "%System%\speeder.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo, el gusano ejecuta su rutina de envío de mensajes de correo y para propagarse vía redes con recursos compartidos, el gusano genera direcciones IP aleatorias de serviores e intenta ingresar a las mismas copiándose a los recursos:
en caso se encuentren protegidos con contraseñas, usará la metodología de la "fuerza bruta" con la siguiente lista de usuarios y contraseñas:
también busca servidores que tengan las vulnerabilidades de sistemas:
cuya información y parches pueden descargarse desde:
Para propagarse a través de las redes de Peer to Peer el gusano busca las carpetas de descarga de la mayoría de estas aplicaciones y se copia a las mismas con los siguientes nombres:
Actuando como Backdoor abre puerto aleatorios, se conecta a un servidor IRC (Internet Relay Chat) y se une a un determinado canal de Chat, ambos cifrados dentro de código del gusano, desde el que recibirá comandos remotos, pudiendo realizar entre otras, las siguientes acciones:
Finalmente el gusano ejecuta un ataque de Denegación de Servicios (DoS) hacia determinadas direcciones URL usando los métodos:
PER ANTIVIRUS® versión 9.7 con registro de virus al 05 de Junio del 2006 detecta y elimina este gusano/backdoor.
