|
W32/Sality.AE
Sality.AE es un gusano reportado el 22 de Abrill del 2008, que se propaga visitando sitios web infectados.
Es un PE (Portable Ejecutable) e infecta Windows 98/NT/2000/XP, está desarrollado y compilado en Visual C++, con una extensión de 48KB y encriptado con rutinas propias.
Al ingresar a un sistema se copia a la ruta:
%System%\drivers\[Archivo_de_nombre_aleatorio].sys
Para evitar ejecutarse más de una vez en el sistema crea el Mutex Op1mutx9
Crea las siguientes sub-llaves:
[HKEY_CURRENT_USER\Software\[Nombre_de_Usuario]914]
[HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_WMI_MFC_TPSHOKER_80]
[HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_IPFILTERDRIVER]
y para deshabilitar el Firewall de Windows crea la llave:
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters]
FirewallPolicy\\StandardProfile\AuthorizedApplications\List]
"[Archivo_infectado]" = "[Archivo_infectado]:*:Enabled:ipsec"
Modifica las entrada de la sub-llves:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Setting]
"GlobalUserOffline" = "0"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"EnableLUA" = "0"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003
para ejecutarse la próxima vez que se re-inicie el sistema crea la llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"[Archivo_infectado]" =
"%System%\drivers\"[Archivo_infectado].sys"
Al siguiente inicio del equipo el gusano borra las siguientes sub_llaves:
[HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
El archivo infectado es registrado como un nuevo driver de servicios del sistema, con las siguientes características:
Nombre: WMI_MFC_TPSHOKER_80
Nombre mostrado: WMI_MFC_TPSHOKER_80
Tipo de Inicio: Automático
Luego detiene los siguientes servicios:
Infecta los archivos ejecutables asociados a la siguiente sub-llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
Infecta todos los
archivos .EXE
asociados a las siguientes sub-llaves:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
También infecta los archivos .EXE y .SCR
de la unidad C:\ en cada recurso
escribible de la red a excepción de los archivos ubicados en las carpetas con las
siguientes cadenas:
Los archivos infectados se
incrementan en 57,344 bytes.
Luego borra los archivos asociados los sistems de seguridad, que tengan los siguientes cadenas:
Se conecta a las siguientes direcciones URL para recibir
instrucciones via peticiones HTTP y descargar archivos malignos:
http://pedmeo222nb.info
http://pzrk.ru
http://technican.w.interia.pl
http://www.kjwre9fqwieluoi.info
http://bpowqbvcfds677.info
http://bmakemegood24.com
http://bperfectchoice1.com
http://bcash-ddt.net
http://bddr-cash.net
http://btrn-cash.net
http://bmoney-frn.net
http://bclr-cash.net
http://bxxxl-cash.net
http://balsfhkewo7i487fksd.info
http://buynvf96.info
http://www.coppiastrana.com/iexpl.exe
Impide el acceso a los siguientes dominios relacionados a software de
seguridad, que tengan las siguientes cadenas:
Finalmente agrega la siguiente entrada a %Windir%\system.ini:
[MCIDRV_VER]
PER ANTIVIRUS® versiones X4 y X5 con registro de virus al 22 de Abril del 2008 detectan y eliminan este gusano.
