Worm-Backdoor.W32/Kidala.C@LSASS 

Alias:
W32/Kidala.C (Hacksoft), W32.Kidala.C@mm (Symantec)Alerta-Antivirus.es Detalles del virus Kidala.C

Descripción:

Kidala.C, es un gusano que difunde a través envió masivo de e-mail, de redes de Intercambio de archivos P2P, IRC, recursos compartidos y se aprovecha de las siguientes  vulnerabilidades del sistema operativo Windows:

• Vulnerabilidad LSASS, descrito en el Boletín de Seguridad MS04-011 de Microsoft.

• Vulnerabilidad DCOM RPC, descrito en el Boletín de Seguridad MS03-026 de Microsoft.

• Vulnerabilidad WebDav vulnerability descrito en el boletín de seguridad MS03-007 de Microsoft.

• Vulnerabilidad Plug and Play Service, descrito en el boletín de seguridad de Microsoft MS05-039

Además tiene un componente de puerta trasera del tipo "bot" de IRC.

Detalles:

Cuando el gusano se ejecuta se copia a sí mismo en:

• %system%\sysmon.exe

Además crea la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Win32"="%system%\sysmon.exe"

El gusano busca direcciones de e-mail dentro de la libreta de direcciones de Windows y de archivos con las siguientes extensiones .adb, .asp, .dbx, .htm, .php, .pl, .sht, .tbb, .txt y .wab, para luego enviarse a si mismo a todas las direcciones encontradas.

Características del Mensaje de E-mail:

• Asunto: [Variable, uno de los siguientes]
  • [En Blanco]
  • [Aleatorio]
  • Error
  • helloh
  • hi
  • Mail Delivery System
  • Mail Transaction Failed
  • Server Report
  • Status

   

• Cuerpo: [Variable, uno de los siguientes]
  • [En Blanco]
  • [Aleatorio]
  • Mail transaction failed. Partial message is available.
  • The message contains Unicode characters and has been sent as a binary attachment.
  • The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

   

• Archivo Adjunto: [Variable, el archivo tiene una de las siguientes extensiones .cmd, .scr, .bat, .exe y .pif]
  • body
  • data
  • doc
  • document
  • file
  • message
  • readme
  • test
  • text

El gusano evita enviarse a direcciones de e-mail que contengan las siguientes cadenas de caracteres:

• .edu
• .gov
• .mil
• abuse
• accoun
• acketst
• admin
• anyone
• arin.
• avp
• berkeley
• borlan
• bsd
• bugs
• certific
• contact
• example
• fcnz
• feste
• fido
• foo.
• fsf.
• gnu
• gold-certs
• google
• gov.
• help
• hotmail
• iana
• ibm.com
• icrosof
• icrosoft
• ietf
• info
• inpris
• isc.o
• isi.e
• kernel
• linux
• listserv
• math
• mit.e
• mozilla
• msn.
• mydomai
• nobody
• nodomai
• noone
• not
• nothing
• ntivi
• page
• panda
• pgp
• postmaster
• privacy
• rating
• rfc-ed
• ripe.
• root
• ruslis
• samples
• secur
• sendmail
• service
• site
• soft
• somebody
• someone
• sopho
• spm
• submit
• support
• syma
• tanford.e
• the.bat
• unix
• usenet
• utgers.ed
• webmaster
• www
• you
• your

Seguidamente intentara difundirse a través del Messenger enviando los siguientes mensajes a todos los usuarios conectados en ese momento, en dicho mensaje hay un enlace para descargar al gusano.

• hehe, watch this http://[Dirección IP Pc Infectada]:2001/[Nombre archivo aleatorio]
• LOL, this shit is funny http://[Dirección IP Pc Infectada]:2001/[Nombre archivo aleatorio]
• lol, don't forget to watch this video http://[Dirección IP Pc Infectada]:2001/[Nombre archivo aleatorio]
• look at this video http://[Dirección IP Pc Infectada]:2001/[Nombre archivo aleatorio]
• your going to like this :D http://[Dirección IP Pc Infectada]:2001/[Nombre archivo aleatorio]

Los nombre de archivo que utiliza puede ser uno de los siguientes:

• crazy5.scr
• crazyjump.scr
• exposed.scr
• funny1.scr
• funny2.scr
• funny3.scr
• haha.scr
• lucky.scr
• mjackson.scr
• picture1.scr

Intenta unirse a un canal IRC de nombre "#MicroSystemFlooder7#", si logra conectarse queda a la espera de recibir ordenes remotas de un atacante, las ordenes podrían realizar las siguientes acciones:

• Descargar y ejecutar archivos remotos.
• Eliminar, finalizar o actualizar el archivo del gusano.
• Realizar ataques de Denegación de Servicio (DoS)

También envía el siguiente mensaje a todos los usuarios que estén conectados en dicho canal IRC, el mensaje es el siguiente:

{Nickname} just look at this brother
http://[Dirección IP Pc Infectada]:2001/Hot.pif

Además busca carpetas compartidas de programas P2P como eDonkey2000, KaZaa Lite, KaZaa, LimeWire, iMesh y Morpheus, si encuentra alguna se copiara a si mismo dentro de estas como:

• Britney_Spears_sucks_someones_dick.scr
• Madonna_the_most_sexiest_girl_in_the_world.com
• Mariah_Carey_showering_in_bathroom.com
• nice_big_asshole_fuck_Jennifer_Lopez.scr
• Alcohol_120%_patch
• DarkAngel_Lady_get_fucked_so_hardly
• LimeWire_speed++
• Outlook_hotmail+_fix
• Angilina_Jolie_Sucks_a_Dick
• BritneySpears_SoSexy
• DAP7.4.x.x_crack
• DownloadsLocation
• JenniferLopez_Film_Sexy_Enough
• NortonAV2006_Crack
• KAV2006_Crack
• MSN7.0Loader
• MSN7.0UniversalPatch
• YahooMessenger_Loader
• ZoneAlarmPro6.xx_Crack
• lcc-wiz_update~
• notepad++
• Opera8
• RealPlayer10.xx_crack
• TaskCatcher
• activation_crack
• dcom_patch
• icq2006-final
• nuke2006
• office_crack
• rootkitXP
• strip-girl-3.0
• winamp6

Los archivos pueden tener una de las siguientes extensiones .bat, .exe, .pif y .scr

El gusano intenta difundirse a través de la Red copiándose a si mismo dentro del recurso compartido IPC$, utiliza una relación de usuarios y passwords para poder establecer comunicación con dicho recurso. Si el gusano logra accesar se copiará y ejecutará a si mismo en el sistema atacado.

Finalmente termina los siguientes procesos, algunos pertenecientes a programas de seguridad y antivirus.

• _AVPCC.EXE
• _AVPM.EXE
• _FINDVIRU.EXE
• ACKWIN32.EXE
• ALOGSERV.EXE
• AMON.EXE
• ANTI-TROJAN.EXE
• APVXDWIN.EXE
• ATGUARD.EXE
• AVE32.EXE
• AVKSERV.EXE
• AVNT.EXE
• AVPCC.EXE
• AVPM.EXE
• AVWIN95.EXE
• BLACKICE.EXE
• CLAW95CF.EXE
• CMGRDIAN.EXE
• ECENGINE.EXE
• ESAFE.EXE
• F-PROT95.EXE
• FINDVIRU.EXE
• FP-WIN.EXE
• FPROT.EXE
• GUARDDOG.EXE
• IAMAPP.EXE
• IOMON98.EXE
• KAVPF.EXE
• LOOKOUT.EXE
• NAVAPSVC.EXE
• NAVAPW32.EXE
• NAVNT.EXE
• NAVW32.EXE
• NAVWNT.EXE
• NOD32.EXE
• NSPLUGIN.EXE
• OGRC.EXE
• OUTPOST.EXE
• OUTPOSTINSTALL.EXE
• OUTPOSTPROINSTALL.EXE
• RAV7.EXE
• RULAUNCH.EXE
• SCAN32.EXE
• SPIDER.EXE
• VET95.EXE
• VETTRAY.EXE
• VSMAIN.EXE
• ZAPRO.EXE
• ZAPSETUP3001.EXE
• ZATUTOR.EXE
• ZONALARM.EXE
• ZONALM2601.EXE
• ZONEALARM.EXE

Solución:

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)

   Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
   
   

2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus Gratuitos. Repare o borre el fichero infectado.

   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
   
   

3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
   
   
4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.

   Elimine las siguientes entradas del registro:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   "Win32"="%system%\sysmon.exe"

   
   

5. Alerta-Antivirus.es Detalles del virus Beagle.DNReinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

Más Información sobre este virus en:

• Hacksoft
• Symantec

Fuente: red.es