|
Win32/Yaha.R@mm, Lentin.R@mmI-worm.Yaha.R
Yaha.R es la reciente variante de la familia de gusanos Yaha, reportada el 07 de Junio del 2003, de propagación masiva a través mensajes de correo con Asuntos, Contenidos y archivos Anexados aleatorios con extensiones .EXE o .SCR. Usa su propio servidor SMTP (Simple Mail Transfer Protocol) y se auto-envía a los buzones de correo extraídos de diversas fuentes en los sistemas infectados.
Infecta con tan sólo pre-visualizar el mensaje, aprovechando la vulnerabilidad MIME (Multipurpose Internet Mail Extensions) de algunas versiones de Microsoft Outlook, Outlook Express que permiten que el archivo anexado sea ejecutado automáticamente sin necesidad de que el usuario receptor del mensaje lo active, al tener configurada la opción de Vista Previa.
Deshabilita antivirus, firewalls y programas de control. También termina procesos en ejecución del sistema infectado y actúa como backdoor, enviando información al hacker poseedor del software Cliente quien podrá controlar remotamente el sistema.
El gusano además intenta ocasionar una Negación de Servicio (DoS) por saturación, atacando a 5 portales de Pakistán.
Esta especie viral posee su propio SMTP (Simple Mail Transfer Protocol) y se auto-envía masivamente a todas las direcciones de correo del sistema infectado, capturados de las siguientes fuentes:
Infecta además vía Redes con recursos compartidos y causa múltiples efectos nocivos.
Es un PE (Portable Ejecutable) e infecta los sistemas operativos Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/2003 Server
Está desarrollado en Visual C++, con una extensión de 50 KB y comprimido con el utilitario FSG:
Sus mensajes tienen las siguientes características:
Remitente, la dirección de correo es remitida desde el sistema infectado, usando la técnica Email spoofing, que disfraza las de los verdaderos remitentes.
Asuntos, cualquiera de los siguientes:
Anexados, cualquiera de los siguientes:
Contenidos, cualquiera de los siguientes:
Opción 1
hey,
did u always dreamnt of hacking ur friends hotmail account..
finally i got a hotmail hack from the internet that really works..
ur my best friend thats why sending to u..
check it..just run it..enter victim's address and u will get the pass.
Opción 2
Al hacer clic en el archivo, el gusano se auto-copia a la carpeta %Windir% con los nombres mstask32.exe y exeLoader.exe y para activarse la próxima vez que se inicie el sistema crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run]
"MicrosoftServiceManager" = "%System%\wintsk32.exe"
Para ocasionar ataques DoS a 5 portales de Pakistán crea esta llave:
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ ZoneCheck]
Genera estas otras llaves que identifican a sus autores:
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Snakes]
"Author" = "R0xx , C0bra , dEviL inCArnATe"
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Snakes]
"Comments" = "This system belongs to the great indians..."
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Snakes]
"Date" %fecha_actual%
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Snakes]
"Version" 2
[HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Snakes]
"Web" = "http://www.indiansnakes.cjb.net"
El gusano además modificará la siguiente
llave, agregando exeLoader.exe
con el propósito de activarse cada vez que se ejecute cualquier archivo con
extensión .EXE.
[HKEY_CLASSES_ROOT\exefile\shell\open\command]
default = "%System%\exeLoader.exe "%1" %*
Cambia la página de Inicio de Internet Explorer con la siguiente llave:
[HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main]
"Start Page" = "http://www.indiansnakes.cjb.net"
%Windir% es una variable que corresponde
a C:\Windows en Windows
95/98/Me/XP/Server 2003 y C:\Winnt en
Windows NT\2000.
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
www.indiansnakes.cjb.net pertenece a un portal de hackers de la India que reta a hacktivistas de Pakistán, países que desde hace muchos años mantienen una relación hostil debido a pugnas políticas.
Al ser activado el gusano deshabilita los procesos de los siguientes antivirus, firewalls y sistemas de control:
Para propagarse a través de Redes el gusano busca el archivo WIN.INI, en los siguientes directorios de unidades de disco con con recursos compartidos:
Al hallar cualquiera de estos directorios, el gusano copia el archivo reg32.exe al WIN.INI y le agrega una línea:
WIN.INI
[windows]
run=%Windir%\reg32.exe
También busca en las siguientes rutas de las
unidades de Red con recursos compartidos:
Si encuentra cualquiera de estas carpetas, el gusano se autocopia
con el nombre de MSRegScanner.exe
En intervalos de segundos, el gusano envía
peticiones HTTP a 5 sitios web ubicados
en Pakistán, causando una saturación con el
propósito de que los servidores se vuelvan lentos o hasta colapsen por una negación
de Servicio.
Yaha.R tiene los siguientes payloads:
PER ANTIVIRUS® versión 8.1 con registro de virus al 07 de Junio del 2003 detecta y elimina eficientemente este gusano.
