W32/SillyFDC.BU

SILLYFDC.BU gusano de IM y HTTP deshabilita funciones roba información la envía a servidor HTTP, etc.

Jorge Machado Lima-Perú

W32/SillyFDC.BU

SillyFDC.BU es un gusano reportado el 11 de Febrero del 2008 que se propaga a través de diversos servicios de Internet, principalmente los de Mensajería Instantánea de Yahoo.

El gusano deshabilita importantes funciones del sistema, roba información y la envía a un servidor HTTP.

Es un Portable Ejecutable infecta a Windows 95/98/Me/NT/2000/XP y Server 2003, está desarrollado en Assembler con 46KB de extensión y no está encriptado.

Una vez ingresado a un sistema, el gusano se copia a las siguientes rutas con los nombres:

%Windir%\scvvhsot.exe
%System%\blastclnnn.exe
%System%\scvvhsot.exe

crea además los archivos:

%System%\autorun.ini
%System%\setting.ini

Para ejecutarse la próxima vez que se re-inicie el sistema crea las llaves:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Yahoo Messengger = %System%\SCVVHSOT.exe

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
Shell Explorer.exe = %System%\SCVVHSOT.exe

Al siguiente inicio del equipo, el gusano realiza acciones que alteran funciones del sistema.

Para deshabilitar el Administrador de la Barra de Tareas ejecuta la sub-llave:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
DisableTaskMgr = 1

Para deshabilitar el Editor de Llaves y Sub-llaves de Registro ejecuta la sub-llave:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
DisableRegistryTools = 1

Para impedir el correcto accionar del Explorador de Windows en la adminstración de carpetas ejecuta la sub-llave:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
NofolderOptions = 1

Finalmente a través del puerto TCP 80 u 8080 el gusano establece comunicación con un servidor HTPP a donde envía la información substraída y puede ejecutar algunas acciones arbitrarias en forma remota.

PER ANTIVIRUS® versión X4 con registro de virus al 11 de Febrero del 2008 detecta y elimina este gusano.