Worm-Backdoor.W32/Rbot.CSI@MM

Alias:
WORM_RBOT.CSI (Trend Micro), W32/Rbot.CSI (PerAntivirus)

Descripción:

Gusano, troyano y backdoor que se propaga a través de recursos compartidos en red, protegidos mediante contraseñas débiles. También aprovecha múltiples vulnerabilidades para propagarse.

Se conecta a un servidor IRC (Internet Chat Relay) para permitir la ejecución remota de comandos.

Termina procesos relacionados a antivirus, firewalls y software de control, aprovecha las capacidades Backdoor de variantes de Bagle y MyDoom.

Captura las claves de producto de Microsoft y claves de CD de populares juegos de PC.

Utiliza funciones de interceptación de paquetes(sniffer) del programa "Carnivore" para capturar contraseñas y otras informaciones del sistema.

Lanza ataques de denegación de servicio (DoS) desde múltiples sistemas previamente infectados.

Detalles:

Instalción

Cunado se ejecuta, se copia a la carpeta %System% con el nombre WUDPATE.exe 

Crea las siguientes claves de registro para ejecutarse la próxima vez que se re-inicie el sistema 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"

[HKEY_CURRENT_USER\Software\Microsoft\OLE]
"Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"

Para deshabilitar el servicio DCOM crea la siguiente subclave:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\OLE]
EnableDCOM = "N"
La configuración por defecto es "Y"

Para deshabilitar la protección y restricción de uso anónimo crea la subclave:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
restrictanonymous = "dword:00000001"
La configuración por defecto es "dword:00000000"

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Al siguiente inicio del sistema termina los siguientes procesos:

• ACKWIN32.EXE
• ADAWARE.EXE
• ADVXDWIN.EXE
• AGENTSVR.EXE
• AGENTW.EXE
• ALERTSVC.EXE
• ALEVIR.EXE
• ALOGSERV.EXE
• AMON9X.EXE
• ANTI-TROJAN.EXE
• ANTIVIRUS.EXE
• ANTS.EXE
• APIMONITOR.EXE
• APLICA32.EXE
• APVXDWIN.EXE
• ARR.EXE
• ATCON.EXE
• ATGUARD.EXE
• ATRO55EN.EXE
• ATUPDATER.EXE
• ATWATCH.EXE
• AU.EXE
• AUPDATE.EXE
• AUTO-PROTECT.NAV80TRY.EXE
• AUTODOWN.EXE
• AUTOTRACE.EXE
• AUTOUPDATE.EXE
• AVCONSOL.EXE
• AVE32.EXE
• AVGCC32.EXE
• AVGCTRL.EXE
• AVGNT.EXE
• AVGSERV.EXE
• AVGSERV9.EXE
• AVGUARD.EXE
• AVGW.EXE
• AVKPOP.EXE
• AVKSERV.EXE
• AVKSERVICE.EXE
• AVKWCTl9.EXE
• AVLTMAIN.EXE
• AVNT.EXE
• AVP.EXE
• AVP32.EXE
• AVPCC.EXE
• AVPDOS32.EXE
• AVPM.EXE
• AVPTC32.EXE
• AVPUPD.EXE
• AVSCHED32.EXE
• AVSYNMGR.EXE
• AVWIN95.EXE
• AVWINNT.EXE
• AVWUPD.EXE
• AVWUPD32.EXE
• AVWUPSRV.EXE
• AVXMONITOR9X.EXE
• AVXMONITORNT.EXE
• AVXQUAR.EXE
• BACKWEB.EXE
• BARGAINS.EXE
• BD_PROFESSIONAL.EXE
• BEAGLE.EXE
• BELT.EXE
• BIDEF.EXE
• BIDSERVER.EXE
• BIPCP.EXE 
• BIPCPEVALSETUP.EXE 
• BISP.EXE 
• BLACKD.EXE 
• BLACKICE.EXE 
• BLSS.EXE 
• BOOTCONF.EXE 
• BOOTWARN.EXE 
• BORG2.EXE 
• BPC.EXE 
• BRASIL.EXE 
• BS120.EXE 
• BUNDLE.EXE 
• BVT.EXE 
• CCAPP.EXE 
• CCEVTMGR.EXE 
• CCPXYSVC.EXE 
• CDP.EXE 
• CFD.EXE 
• CFGWIZ.EXE 
• CFIADMIN.EXE 
• CFIAUDIT.EXE 
• CFINET.EXE 
• CFINET32.EXE 
• CLAW95CF.EXE 
• CLEAN.EXE 
• CLEANER.EXE 
• CLEANER3.EXE 
• CLEANPC.EXE 
• CLICK.EXE 
• CMD32.EXE 
• CMESYS.EXE 
• CMGRDIAN.EXE 
• CMON016.EXE 
• CONNECTIONMONITOR.EXE 
• CPD.EXE 
• CPF9X206.EXE 
• CPFNT206.EXE 
• CTRL.EXE 
• CV.EXE 
• CWNB181.EXE
• CWNTDWMO.EXE 
• Claw95.EXE 
• DATEMANAGER.EXE 
• DCOMX.EXE 
• DEFALERT.EXE 
• DEFSCANGUI.EXE 
• DEFWATCH.EXE 
• DEPUTY.EXE 
• DIVX.EXE 
• DLLCACHE.EXE 
• DLLREG.EXE 
• DOORS.EXE 
• DPF.EXE 
• DPFSETUP.EXE 
• DPPS2.EXE 
• DRWATSON.EXE 
• DRWEB32.EXE 
• DRWEBUPW.EXE
• DSSAGENT.EXE 
• DVP95.EXE 
• DVP95_0.EXE 
• ECENGINE.EXE 
• EFPEADM.EXE 
• EMSW.EXE 
• ENT.EXE 
• ESAFE.EXE 
• ESCANH95.EXE 
• ESCANHNT.EXE 
• ESCANV95.EXE 
• ESPWATCH.EXE 
• ETHEREAL.EXE 
• ETRUSTCIPE.EXE 
• EVPN.EXE 
• EXANTIVIRUS-CNET.EXE 
• EXE.AVXW.EXE 
• EXPERT.EXE 
• EXPLORE.EXE
• F-AGNT95.EXE
• F-PROT.EXE 
• F-PROT95.EXE 
• F-STOPW.EXE 
• FAMEH32.EXE 
• FAST.EXE 
• FCH32.EXE 
• FIH32.EXE 
• FINDVIRU.EXE 
• FIREWALL.EXE 
• FLOWPROTECTOR.EXE 
• FNRB32.EXE 
• FP-WIN.EXE 
• FP-WIN_TRIAL.EXE 
• FPROT.EXE 
• FRW.EXE 
• FSAA.EXE 
• FSAV.EXE 
• FSAV32.EXE 
• FSAV530STBYB.EXE 
• FSAV530WTBYB.EXE 
• FSAV95.EXE 
• FSGK32.EXE 
• FSM32.EXE 
• FSMA32.EXE 
• FSMB32.EXE 
• GATOR.EXE 
• GBMENU.EXE 
• GBPOLL.EXE 
• GENERICS.EXE 
• GMT.EXE 
• GUARD.EXE 
• GUARDDOG.EXE 
• HACKTRACERSETUP.EXE 
• HBINST.EXE 
• HBSRV.EXE 
• HOTACTIO.EXE 
• HOTPATCH.EXE 
• HTLOG.EXE 
• HTPATCH.EXE 
• HWPE.EXE 
• HXDL.EXE 
• HXIUL.EXE 
• IAMAPP.EXE 
• IAMSERV.EXE 
• IAMSTATS.EXE 
• IBMASN.EXE 
• IBMAVSP.EXE 
• ICLOAD95.EXE 
• ICLOADNT.EXE 
• ICMON.EXE 
• ICSUPP95.EXE 
• ICSUPPNT.EXE 
• IDLE.EXE
• IEDLL.EXE
• IEDRIVER.EXE 
• IEXPLORER.EXE 
• IFACE.EXE 
• IFW2000.EXE 
• INETLNFO.EXE 
• INFUS.EXE 
• INFWIN.EXE 
• INIT.EXE 
• INTDEL.EXE 
• INTREN.EXE 
• IOMON98.EXE 
• IPARMOR.EXE 
• IRIS.EXE 
• ISASS.EXE 
• ISRV95.EXE 
• ISTSVC.EXE 
• JAMMER.EXE 
• JDBGMRG.EXE 
• JEDI.EXE 
• KAVLITE40ENG.EXE 
• KAVPERS40ENG.EXE 
• KAVPF.EXE 
• KAZZA.EXE 
• KEENVALUE.EXE 
• KERIO-PF-213-EN-WIN.EXE 
• KERIO-WRL-421-EN-WIN.EXE 
• KERIO-WRP-421-EN-WIN.EXE 
• KERNEL32.EXE 
• KILLPROCESSSETUP161.EXE 
• LAUNCHER.EXE 
• LDNETMON.EXE
• LDPRO.EXE 
• LDPROMENU.EXE 
• LDSCAN.EXE 
• LNETINFO.EXE 
• LOADER.EXE 
• LOCALNET.EXE 
• LOCKDOWN.EXE 
• LOCKDOWN2000.EXE 
• LOOKOUT.EXE
• LORDPE.EXE 
• LSETUP.EXE 
• LUALL.EXE 
• LUAU.EXE 
• LUCOMSERVER.EXE 
• LUINIT.EXE 
• LUSPT.EXE 
• MAPISVC32.EXE 
• MCAGENT.EXE 
• MCSHIELD.EXE 
• MCTOOL.EXE 
• MCUPDATE.EXE 
• MCVSRTE.EXE 
• MCVSSHLD.EXE 
• MD.EXE 
• MFIN32.EXE 
• MFW2EN.EXE 
• MFWENG3.02D30.EXE 
• MGAVRTCL.EXE 
• MGAVRTE.EXE 
• MGHTML.EXE
• MGUI.EXE 
• MINILOG.EXE 
• MMOD.EXE 
• MONITOR.EXE 
• MOOLIVE.EXE 
• MOSTAT.EXE 
• MPFAGENT.EXE 
• MPFSERVICE.EXE 
• MPFTRAY.EXE 
• MRFLUX.EXE 
• MSAPP.EXE 
• MSBB.EXE 
• MSBLAST.EXE 
• MSCACHE.EXE 
• MSCCN32.EXE 
• MSCMAN.EXE 
• MSCONFIG.EXE 
• MSDM.EXE 
• MSDOS.EXE
• MSIEXEC16.EXE
• MSINFO32.EXE 
• MSLAUGH.EXE 
• MSMGT.EXE 
• MSMSGRI32.EXE 
• MSSMMC32.EXE 
• MSSYS.EXE 
• MSVXD.EXE 
• MU0311AD.EXE 
• MWATCH.EXE 
• N32SCANW.EXE 
• NAV.EXE 
• NAVAP.NAVAPSVC.EXE 
• NAVAPSVC.EXE 
• NAVAPW32.EXE 
• NAVDX.EXE 
• NAVENGNAVEX15.NAVLU32.EXE 
• NAVLU32.EXE 
• NAVNT.EXE
• NAVSTUB.EXE 
• NAVW32.EXE 
• NAVWNT.EXE
• NC2000.EXE 
• NCINST4.EXE 
• NDD32.EXE 
• NEOMONITOR.EXE
• NEOWATCHLOG.EXE 
• NETARMOR.EXE 
• NETD32.EXE 
• NETINFO.EXE 
• NETMON.EXE 
• NETSCANPRO.EXE 
• NETSPYHUNTER-1.2.EXE 
• NETSTAT.EXE 
• NETUTILS.EXE 
• NISSERV.EXE 
• NISUM.EXE 
• NMAIN.EXE 
• NOD32.EXE 
• NORMIST.EXE 
• NORTON_INTERNET_SECU_3.0_407.EXE 
• NOTSTART.EXE 
• NPF40_TW_98_NT_ME_2K.EXE 
• NPFMESSENGER.EXE 
• NPROTECT.EXE 
• NPSCHECK.EXE 
• NPSSVC.EXE 
• NSCHED32.EXE 
• NSSYS32.EXE 
• NSTASK32.EXE 
• NSUPDATE.EXE 
• NT.EXE 
• NTRTSCAN.EXE 
• NTVDM.EXE 
• NTXconfig.EXE 
• NUI.EXE 
• NUPGRADE.EXE 
• NVARCH16.EXE 
• NVC95.EXE 
• NVSVC32.EXE 
• NWINST4.EXE 
• NWSERVICE.EXE 
• NWTOOL16.EXE 
• OLLYDBG.EXE 
• ONSRVR.EXE 
• OPTIMIZE.EXE 
• OSTRONET.EXE 
• OTFIX.EXE 
• OUTPOST.EXE 
• OUTPOSTINSTALL.EXE 
• OUTPOSTPROINSTALL.EXE 
• PADMIN.EXE 
• PANIXK.EXE 
• PATCH.EXE 
• PAVCL.EXE 
• PAVPROXY.EXE 
• PAVSCHED.EXE 
• PAVW.EXE 
• PCC2002S902.EXE 
• PCC2K_76_1436.EXE 
• PCCIOMON.EXE 
• PCCNTMON.EXE 
• PCCWIN97.EXE 
• PCCWIN98.EXE 
• PCDSETUP.EXE 
• PCFWALLICON.EXE 
• PCIP10117_0.EXE 
• PCSCAN.EXE 
• PDSETUP.EXE
• PENIS.EXE 
• PERISCOPE.EXE 
• PERSFW.EXE 
• PERSWF.EXE 
• PF2.EXE 
• PFWADMIN.EXE
• PGMONITR.EXE 
• PINGSCAN.EXE 
• PLATIN.EXE 
• POP3TRAP.EXE 
• POPROXY.EXE 
• POPSCAN.EXE 
• PORTDETECTIVE.EXE 
• PORTMONITOR.EXE 
• POWERSCAN.EXE 
• PPINUPDT.EXE 
• PPTBC.EXE 
• PPVSTOP.EXE 
• PRIZESURFER.EXE 
• PRMT.EXE 
• PRMVR.EXE 
• PROCDUMP.EXE 
• PROCESSMONITOR.EXE 
• PROCEXPLORERV1.0.EXE 
• PROGRAMAUDITOR.EXE 
• PROPORT.EXE
• PROTECTX.EXE 
• PSPF.EXE 
• PURGE.EXE 
• PUSSY.EXE 
• PVIEW95.EXE 
• QCONSOLE.EXE 
• QSERVER.EXE 
• RAPAPP.EXE 
• RAV7.EXE 
• RAV7WIN.EXE
• RAV8WIN32ENG.EXE 
• RAY.EXE 
• RB32.EXE 
• RCSYNC.EXE 
• REALMON.EXE 
• REGED.EXE 
• REGEDIT.EXE 
• REGEDT32.EXE 
• RESCUE.EXE 
• RESCUE32.EXE 
• RRGUARD.EXE 
• RSHELL.EXE 
• RTVSCAN.EXE 
• RTVSCN95.EXE 
• RULAUNCH.EXE 
• RUN32DLL.EXE 
• RUNDLL.EXE 
• RUNDLL16.EXE 
• RUXDLL32.EXE 
• SAFEWEB.EXE 
• SAHAGENT.EXE 
• SAVE.EXE 
• SAVENOW.EXE 
• SBSERV.EXE 
• SC.EXE 
• SCAM32.EXE 
• SCAN32.EXE 
• SCAN95.EXE 
• SCANPM.EXE 
• SCRSCAN.EXE 
• SCRSVR.EXE 
• SCVHOST.EXE 
• SD.EXE 
• SERV95.EXE 
• SERVICE.EXE 
• SERVLCE.EXE 
• SERVLCES.EXE 
• SETUPVAMEEVAL.EXE 
• SETUP_FLOWPROTECTOR_US.EXE 
• SFC.EXE
• SGSSFW32.EXE 
• SH.EXE 
• SHELLSPYINSTALL.EXE 
• SHN.EXE 
• SHOWBEHIND.EXE 
• SMC.EXE 
• SMS.EXE 
• SMSS32.EXE 
• SOAP.EXE 
• SOFI.EXE 
• SPERM.EXE 
• SPF.EXE 
• SPHINX.EXE 
• SPOLER.EXE 
• SPOOLCV.EXE 
• SPOOLSV32.EXE 
• SPYXX.EXE 
• SREXE.EXE 
• SRNG.EXE 
• SS3EDIT.EXE 
• SSGRATE.EXE 
• SSG_4104.EXE 
• ST2.EXE 
• START.EXE 
• STCLOADER.EXE 
• SUPFTRL.EXE 
• SUPPORT.EXE 
• SUPPORTER5.EXE 
• SVC.EXE 
• SVCHOSTC.EXE 
• SVCHOSTS.EXE 
• SVSHOST.EXE 
• SWEEP95.EXE 
• SWEEPNET.SWEEPSRV.SYS.SWNETSUP.EXE 
• SYMPROXYSVC.EXE 
• SYMTRAY.EXE 
• SYSEDIT.EXE 
• SYSTEM.EXE 
• SYSTEM32.EXE 
• SYSUPD.EXE 
• TASKMG.EXE 
• TASKMGR.EXE 
• TASKMO.EXE 
• TASKMON.EXE 
• TAUMON.EXE 
• TBSCAN.EXE 
• TC.EXE 
• TCA.EXE 
• TCM.EXE 
• TDS-3.EXE 
• TDS2-98.EXE
• TDS2-NT.EXE
• TEEKIDS.EXE 
• TFAK.EXE 
• TFAK5.EXE 
• TGBOB.EXE 
• TITANIN.EXE 
• TITANINXP.EXE 
• TRACERT.EXE 
• TRICKLER.EXE 
• TRJSCAN.EXE 
• TRJSETUP.EXE
• TROJANTRAP3.EXE 
• TSADBOT.EXE 
• TVMD.EXE 
• TVTMD.EXE 
• UNDOBOOT.EXE 
• UPDAT.EXE 
• UPDATE.EXE 
• UPGRAD.EXE 
• UTPOST.EXE 
• VBCMSERV.EXE 
• VBCONS.EXE 
• VBUST.EXE 
• VBWIN9X.EXE
• VBWINNTW.EXE 
• VCSETUP.EXE 
• VET32.EXE 
• VET95.EXE 
• VETTRAY.EXE 
• VFSETUP.EXE 
• VIR-HELP.EXE 
• VIRUSMDPERSONALFIREWALL.EXE
• VNLAN300.EXE 
• VNPC3000.EXE 
• VPC32.EXE 
• VPC42.EXE 
• VPFW30S.EXE 
• VPTRAY.EXE 
• VSCAN40.EXE 
• VSCENU6.02D30.EXE 
• VSCHED.EXE 
• VSECOMR.EXE 
• VSHWIN32.EXE 
• VSISETUP.EXE 
• VSMAIN.EXE 
• VSMON.EXE 
• VSSTAT.EXE 
• VSWIN9XE.EXE 
• VSWINNTSE.EXE 
• VSWINPERSE.EXE 
• W32DSM89.EXE 
• W9X.EXE 
• WATCHDOG.EXE
• WEBDAV.EXE 
• WEBSCANX.EXE
• WEBTRAP.EXE 
• WFINDV32.EXE 
• WGFE95.EXE 
• WHOSWATCHINGME.EXE 
• WIMMUN32.EXE 
• WIN-BUGSFIX.EXE 
• WIN32.EXE 
• WIN32US.EXE 
• WINACTIVE.EXE 
• WINDOW.EXE 
• WINDOWS.EXE 
• WININETD.EXE 
• WININIT.EXE 
• WININITX.EXE 
• WINLOGIN.EXE 
• WINMAIN.EXE
• WINNET.EXE 
• WINPPR32.EXE
• WINRECON.EXE 
• WINSERVN.EXE 
• WINSSK32.EXE 
• WINSTART.EXE 
• WINSTART001.EXE 
• WINTSK32.EXE 
• WINUPDATE.EXE 
• WKUFIND.EXE 
• WNAD.EXE 
• WNT.EXE 
• WRADMIN.EXE 
• WRCTRL.EXE 
• WSBGATE.EXE 
• WUPDATER.EXE 
• WUPDT.EXE 
• WYVERNWORKSFIREWALL.EXE 
• XPF202EN.EXE 
• ZAPRO.EXE 
• ZAPSETUP3001.EXE 
• ZATUTOR.EXE 
• ZONALM2601.EXE 
• ZONEALARM.EXE 
• _AVP32.EXE
• _AVPCC.EXE 
• _AVPM.EXE

También, en caso de existir, termina los procesos ocasionados por otros gusanos: 

• bbeagle.exe 
• d3dupdate.exe 
• i11r54n4.exe 
• irun4.exe 
• mscvb32.exe 
• PandaAVEngine.exe 
• Penis32.exe 
• rate.exe 
• ssate.exe 
• sysinfo.exe 
• SysMonXP.exe 
• winsys.exe 
• winupd.exe

Intenta descargar una copia de de sí mismo a través del servidor SQL usando cuentas sustraídas del sistema. 

Propagación en red

Seguidamente busca en la red recursos compartidos que se encuentren protegidos con contraseñas débiles usando una extensa lista de nombres de usuarios y contraseñas:

• 12345 
• 123456 
• 1234567 
• 12345678 
• 123456789 
• 1234567890 
• Text 
• access 
• accounting 
• accounts 
• admin 
• administrador 
• administrat 
• administrateur 
• administrator 
• admins 
• backup 
• bitch 
• blank 
• brian 
• changeme 
• chris 
• cisco 
• compaq 
• computer 
• control 
• database 
• databasepass 
• databasepassword 
• db1234 
• dbpass 
• dbpassword 
• default 
• domain 
• domainpass 
• domainpassword 
• exchange 
• george 
• guest 
• hello 
• homeuser 
• internet 
• intranet 
• katie 
• linux 
• login 
• loginpass 
• nokia 
• oeminstall 
• oemuser 
• office 
• oracle 
• orainstall 
• outlook 
• owner 
• pass1234 
• passwd 
• password 
• password1 
• peter 
• qwerty 
• server 
• siemens 
• sqlpassoainstall 
• staff 
• student 
• susan 
• system 
• teacher 
• technical 
• win2000 
• win2k 
• win98 
• windows 
• winnt 
• winpass 
• winxp 
• wwwadmin 

En caso de lograr el acceso descarga una copia de sí mismo en las siguientes rutas de recursos compartidos:

• ADMIN$\system32 
• C$\Windows\system32 
• C$\WINNT\system32 
• IPC$ 

Explotación de vulnerabilidades

Buscará de forma aleatoria sistemas que estén sin actualizar para explotar las siguientes vulnerabilidades:

• Desbordamiento del buffer del WebDav 
• Sobre-ejecuión de srevicio RPCSS que permitiría la ejecución remota de códigos malignos 
• Buffer del proceso de la Librería ASN.1 
• Desbordamiento del buffer LSASS 
• Desbordamiento del Apilado de Control Remoto del DameWare 
• Desbordamiento del buffer del servicio de respaldo del Veritas 

cuyos parches y actualizaciones se encuentran tras los siguietnes enlaces:

• Microsoft Security Bulletin MS03-007
• Microsoft Security Bulletin MS03-039
• Microsoft Security Bulletin MS04-007
• Microsoft Security Bulletin MS04-011
• Desbordamiento del Apilado de Control Remoto del DameWare
• Desbordamiento del buffer del servicio de respaldo del Veritas

• Obtener información del sistema y redes. 
• Descargar o ejecutar archivos. 
• Actuar como un keylogger. 
• Agregar, borrar o listar recursos ocultos compartidos de red. 
• Crear, listar o borrar cuentas de usuarios. 
• Habilitar o deshabilitar accesos anónimos. 
• Ejecutar, listar o terminar procesos. 
• Saturar el cache del DNS. 
• Captuar la contraseña de acceso a Windows. 
• Listar, ejecutar o detener servcios. 
• Abrir un comando remoto oculto. 
• Abrir y ejecutar un servidor FTP. 
• Ejecutar comandos básicos IRC y FTP. 
• Ejecutar capturas de paquetes de cadenas específicas. 
• Reiniciar o apagar los sistemas. 
• Buscar puertos abiertos.

También es capaz de robar claves de CD de los populares juegos de PC:

• Battlefield 1942
• Battlefield 1942 (Road To Rome) 
• Battlefield 1942 (Secret Weapons of WWII) 
• Battlefield Vietnam 
• Black and White 
• Chrome 
• Command and Conquer: Generals 
• Command and Conquer: Generals (Zero Hour) 
• Command and Conquer: Red Alert 
• Command and Conquer: Red Alert 2 
• Command and Conquer: Tiberian Sun 
• Counter-Strike (Retail) 
• FIFA 2002 
• FIFA 2003 
• Freedom Force 
• Global Operations 
• Gunman Chronicles 
• Half-Life 
• Hidden & Dangerous 2 
• IGI 2: Covert Strike 
• Industry Giant 2 
• James Bond 007: Nightfire 
• Legends of Might and Magic 
• Medal of Honor: Allied Assault 
• Medal of Honor: Allied Assault: Breakthrough 
• Medal of Honor: Allied Assault: Spearhead 
• Nascar Racing 2002 
• Nascar Racing 2003 
• Need For Speed Hot Pursuit 2 
• Need For Speed: Underground 
• Neverwinter Nights 
• Neverwinter Nights (Hordes of the Underdark) 
• NHL 2002 
• NHL 2003 
• Rainbow Six III RavenShield 
• Shogun: Total War: Warlord Edition 
• Soldier of Fortune II - Double Helix 
• Soldiers Of Anarchy 
• The Gladiators 
• Unreal Tournament 2003 
• Unreal Tournament 2004 

Utiliza el Sniffer Carnivore, creado por el FBI con el que monitoriza el tráfico, para intentar capturar las contraseñas cuando se detecten cualquiera de las siguientes cadenas cadenas:

• : auth
• : login 
• :!auth
• :!hashin 
• :!login 
• :!secure 
• :!syn 
• :$auth 
• :$hashin 
• :$login 
• :$syn 
• :%auth 
• :%hashin 
• :%login 
• :%syn 
• :&auth 
• :&login 
• :'auth 
• :'login 
• :*auth 
• :*login 
• :+auth 
• :+login 
• :,auth 
• :,login 
• :-auth 
• :-login 
• :.auth 
• :.hashin
• :.login
• :.secure 
• :.syn 
• :/auth 
• :/login 
• :=auth 
• :=login 
• :?auth 
• :?login 
• :@auth 
• :@login 
• :\auth
• :\login 
• :~auth 
• :~login 
• login 

Sus técnicas anti-depuración que detectan la presencia de procesos de los sigientes procesos:

• Filemon
• Filevxd
• Ntice
• Regmon
• Regvxd
• Sice
• Trw 

Solución:

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)

   Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
   
   

2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus Gratuitos. Repare o borre el fichero infectado.

   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
   
   

3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
   
   
4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
   
   Elimine las siguientes entradas del registro:
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   "Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   "Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"
   
   [HKEY_CURRENT_USER\Software\Microsoft\OLE]
   "Microsoft Generic Update Manager"= "%Systems%\wupdate.exe"
   
   Restaure las siguientes entradas del registro:
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\OLE]
   EnableDCOM = "N"
   La configuración por defecto es "Y"
   
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
   restrictanonymous = "dword:00000001"
   La configuración por defecto es "dword:00000000"
   
5. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

Más Información sobre este virus en:

• Trend Micro
• Per Antivirus

Fuente: red.es