|
W32/Spybot.KHC, Backdoor.Spybot.KHC.IRC
|
Spybot.KHC es un destructivo gusano/backdoor reportado el 1o de Marzo del 2005, que se propaga en Redes con recursos compartidos configuradas con contraseñas débiles con un archivo de nombre pingppac.exe
y explota varias vulnerabilidades de los sistemas de Microsoft.
A través de un canal IRC (Internet Chat Relay), se conecta al puerto TCP 8080 desde donde podrá ejecutar acciones destructivas y controlar remotamente los sistemas infectados. |
Hace uso de las puertas traseras abiertas por otros conocidos gusanos y potente Backdoors.
Explota las vulnerabilidades DCOM RPC (Boletín MS03-026), el Servicio Remoto de Control de Seguridad de Desbordamiento del Buffer (Boletín MS04-011), desbordamiento del Buffer de Servicios de Estaciones de Trabajo (Boletín MS03-049), desbordamiento del Buffer del Universal Plug and Play (Boletín MS01-059), vulnerabilidades de los servidores SQL (Boletines MS02-056 y MS02-061) y Servidor de Mini Control Remoto del DameWare (Boletín CAN-2003-0960)
Es un PE (Portable Ejecutable) e infecta a Windows/NT/Me/2000/XP,
incluyendo los servidores NT/2000/2003 con una extensión de 105 KB, está desarrollado en Visual C++ y comprimido con el utilitario PEtite
Win32 Executable Compressor:
http://www.un4seen.com/petite
Una vez ingresado al sistema se auto-copia a la carpeta %System% como pingppac.exe y para activarse la siguiente vez que se inicie el equipo agrega las siguientes llaves de registro:
para deshabilitar el DCOM modifica la llave:
[HKEY_LOCAL_MACHINE\Software\Microsoft\OLE]
"EnableDCOM" = "N"
para modificar el acceso a los recursos compartidos de red modifica la llave:
[HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa]
"restrictanonymous" = "1"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP.
Al siguiente re-inicio del sistema, el gusano abre un Backdoor que se conecta a un canal IRC (Internet Chat Relay), en el dominio def.pj34r.us, a través del puerto TCP 8080, permitiendo al intruso ejecutar en forma remota las siguientes acciones:
Rastrea los sistemas que tengan las vulnerabilidades antes mencionadas.
Se propaga además haciendo uso de las puertas traseras abiertas por las variantes de los gusanos Beagle, Sasser, Mydoom y de los Backdoors NetDevil, Subseven, Kuang
y Optix.
Extrae también los ID y claves de muchos juegos de PC.
Genera direcciones IP en forma aleatoria, intentando ingresar a las redes con recursos compartidos haciendo uso de una lista compuesta por las siguientes contraseñas:
Los puertos TCP usados para estas vulnerabilidades son el 135, 445 y el puerto UDP 1434. La información y parches para las mismas pueden ser descargados desde:
PER ANTIVIRUS® versión 9.1 con registro de virus al 1o de Marzo del 2005 detecta y elimina eficientemente este gusano/backdoor.
