Worm-Backdoor.W32/Peybot@P2P
Alias:
WORM_PEYBOT.A (Trend Micro)
Descripción:
Gusano que permanece residente en memoria. Se propaga por redes de
Intercambio de ficheros y descarga copias de sí mismo como
DEFRAGFAT??.EXE en la carpeta del sistema de Windows
Utiliza una larga lista de nombres de usuario y claves para intentar
acceder a carpetas compartdas accesibles desde la máquina
infectada.
Actúa como puerta trasera a través de IRC.
Detalles:
Instalación
Se copia a sí mismo com DEFRAGFAT??.EXE en el directorio
de sistema de Windows.
Crea la siguiente entrada en el registro, para facilitarse su
propia ejecución junto al arranque de Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows DLL Loader = "%System%\DEFRAGFAT??.EXE"
Nota: %System% representa la
carpeta de sistema de Windows. Por defecto será:
C:\Windows\System en Windows 95, 98 y ME, C:\WINNT\System32 en
Windows NT y 2000, y C:\Windows\System32 en Windows XP.)
Propagación
Se propaga a través de resdes de compartición de ficheros en
las que figurará con un nombre sugerente para los usuarios.
Generalmente haciéndose pasar por un programa de utilidad.
Intentará descargar copias de sí mismo en los siguientes
recursos compartidos, si consigue el acceso a los mismos:
- ADMIN$
- ADMIN$\System32
- C$\Documents and Settings\All
Users\Documents\
- C$\Windows\System32
- C$\WINNT\System32
- C$\shared
- IPC$
Para conseguir tal acceso, probará diferentes combinaciones de
nombres de usuario y claves de acceso obtenidas de su propia lista:
- 12345
- 123456
- 1234567
- 12345678
- 123456789
- 1234567890
- access
- accounting
- accounts
- administrador
- administrat
- administrateur
- admins
- backup
- bitch
- blank
- brian
- changeme
- chris
- cisco
- compaq
- computer
- control
- database
- databasepass
- databasepassword
- db1234
- dbpass
- dbpassword
- deadline
- default
- domain
- domainpass
- domainpassword
- exchange
- george
- guest
- hello
- homeuser
- internet
- intranet
- katie
- letmein
- linux
- login
- loginpass
- money
- nokia
- oeminstall
- oemuser
- office
- oracle
- orainstall
- outlook
- owner
- pass1234
- passwd
- password
- password1
- payday
- peter
- qwerty
- secret
- server
- siemens
- sqlpassoainstall
- staff
- student
- susan
- teacher
- technical
- temp123
- win2000
- win2k
- win98
- windows
- winnt
- winpass
- winxp
- wwwadmin
Capacidades de puerta
trasera:
Como puerta trasera(Backdoor) creará su propia conexión IRC
para conectarse a cierto servidor y canal, desde donde podrá
recibir instrucciones por parte del atacante, entre las que destacan
las siguientes:
- Abrir un servidor FTP
- Abir un ventana de comandos
- Programar ataques de Inundación:
- ICMP flood
- Ping flood
- SYN flood
- TCP flood
- UDP flood
- Programar comandos básicos para FTP e
IRC
- Programar la captura de
paquetes(sniffing) con cadenas de texto esoecíficas
- Realizar escaneos de puertos de
comunicaciones
- Enviar correo
- Iniciar un servidor Proxy
Solución:
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de
Antivirus Gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
- En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc).
En Windows 98/Me seleccione DEFRAGFAT??.EXE y deténgalo.
En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho
en el proceso y seleccione 'Terminar Proceso'. A continuación
vuelva a intentar el borrado o reparación del fichero.
- A continuación hay que editar el registro para deshacer los
cambios realizados por el virus. Si necesita información sobre
cómo editar el registro puede ver esta guía
de edición del registro o este vídeo
de ayuda que ilustra el proceso. Sea
extremadamente cuidadoso al manipular el registro. Si modifica
ciertas claves de manera incorrecta puede dejar el sistema
inutilizable.
Elimine las siguientes entradas del registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows DLL Loader = "%System%\DEFRAGFAT??.EXE"
Nota: %System% representa la
carpeta de sistema de Windows. Por defecto será:
C:\Windows\System en Windows 95, 98 y ME, C:\WINNT\System32 en
Windows NT y 2000, y C:\Windows\System32 en Windows XP.)
- Reincie su ordenador y explore todo el disco duro con un
antivirus para asegurarse de la eliminación del virus. Si
desactivó la restauración del sistema, recuerde volver a
activarla.
Más Información sobre este virus en:
Fuente: red.es |
