|
W32/Rinbot.L
Rinbot.L es un destructivo gusano/backdoor reportado el 1o de Marzo del 2007, que se propaga a través de un canal del IRC (Internet Chat Relay), abriendo previamente el puerto TCP 5454 (apc), que permite establecer envío de paquetes de data en forma directa y ordenada.Intenta además ingresar a redes con recursos compartidos configuradas con contraseñas débiles. Ejecuta comandos remotos y roba información del sistema incluyendo claves de CDs.
Explota las vulnerabilidades de elevación de Privilegio del Cliente del antivirus de Symantec, saturación del buffer en el Servicio Remoto de Servidor Microsoft Windows y la saturación del buffer de autenticación remota del Servidor Microsoft SQL.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, está desarrollado en Visual C++ con 209KB de extensión.
Al activarse se copia a la carpeta %System% con el nombre de rst.exe y para ejecutarse la próxima vez que se re-inicie el sistema crea la llave de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Random Interface Network" = "%System%\rst.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP.
Al siguiente re-inicio del equipo intenta ingresar a la carpeta IPC$ de los sistemas con recursos compartidos, configurados con contraseñas débiles, usando la siguiente lista de usuarios y contraseñas:
Actuando como Backdoor, a través del puerto TCP 5454 se conecta al servidor IRC (Internet Chat Relay) holla.sw1tchbck.net y se une a un canal de chat desde el que podrá ejecutar acciones nocivas, tales como:
El gusano explota además las siguientes vulnerabilidades:
PER ANTIVIRUS® versión 10.0 con registro de virus al 1o de Marzo del 2007 detecta y elimina eficientemente este gusano/backdoor.
