Worm-Backdoor.W32/Tilebot.A

Alias:
WORM_TILEBOT.A (Trend Micro)

Descripción:
Gusano que siendo descargado por otros malwares permanecerá residente en memoria, provocando nuevas descargas de sí mismo sobre recursos compartidos y máquinas a las que pueda tener acceso. Para ello utiliza una lista de nombres de usuario y claves que el propio gusano transporta.

También se sirve de algunas vulnerabilidades para propagarse a través de recursos de red y posee capacidades para actuar como puerta trasera.

Además intentará detener la ejecución de otros gusanos que puedan estar activos en la máquina infectada, y eliminará las entradas en el registro que hubiesen generado.

Detalles:

Instalación

Tras la ejecución, el gusano descarga copias de si mismo en la carpeta de Windows con los siguientes nombres:

• NETINFO.EXE
• ORAN.SYS 

Se registra como servicio añadiendo la siguiente entradas en las subclaves indicadas:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\netinfo
ImagePath = ?%Windows%\netinfo.exe?

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\netinfo
DisplayName = "netinfo"

También añade la siguiente entrada para registrar como servicio al fichero ORAN.sys:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\orans
ImagePath = ?%System%\orans.sys?

También desactiva multiples funciones de windows creando entradas de registro o modificando el contenido de otras, que cambiarán la configuración establecida por el usuario. Son las siguientes;

Para desactivar funciones de Antivirus y firewall en Windows:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
Center AntiVirusDisableNotify = "dword:00000001" 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
Center FirewallDisableNotify = "dword:00000001" 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
Center Anti VirusOverride = "dword:00000001" 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
FirewallOverride = "dword:00000001" 

Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".

Para desactivar las funciones de Actualización automática de Windows;

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
UpdatesDisableNotify = "dword:00000001" 

Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
AUOption = "dword:00000001" 

Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".

Para desactivar el firewall del perfil de dominio;

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\DomainProfile
EnableFirewall = "dword:00000000" 

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\StandardProfile
EnableFirewall = "dword:00000000" 

Nota: El valor por defecto de la variables indicada es establecido por el usuario.

Para deshabilitar funciones de Windows Update para XP SP2;

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate
DoNotAllowXPSP2 = "dword:00000001" 

Nota: El valor por defecto de la variable indicada deberá ser "dword:00000000".

Para desactivar el centro de seguridad;

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wscsvc
Start = "dword:00000004" 

Nota: El valor por defecto de la variable indicada deberá ser "dword:00000002".

También realiza modificaciones en las siguientes subclaves

HKEY_LOCAL_MACHINE\Software\Microsoft\OLE
EnableDCOM = "N"

Nota: El valor por defecto de la variable indicada deberá ser EnableDCOM = "Y".

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
RestrictAnonymous = "dword:00000001"

Propagación en red y uso de Vulnerabilidades

El gusano buscará a través de la red los siguientes recursos:

• ADMIN$
• ADMIN$\system32
• C$\Windows\system32
• C$\WINNT\system32
• D$\Windows\system32
• D$\WINNT\system32
• IPC$ 

Intentará copiarse en aquellos que no tengan establecidos controles de acceso, mientras que los que posean restricciones le impedirán hacerlo.

Intentará iniciar una sesión en el sistema probando combinaciones de usuario y clave que el propio gusano transporta entre su código para ejecutarse a sí mismo y proseguir sus actividades de propagación.

Capacidades de puerta trasera

Puede abrir un puerto TCP aleatório para conectar a canales de charla de ciertos servidores IRC desde los que esperará la recepción de nuevos comandos del atacante, que le permitirán realizar tareas como las siguientes:

• Añadir o eliminar recursos compartidos a la red.
• Activar la cámara web y capturar imágenes.
• Activar o desactivar el servicio DCOM
• Ejecutar sesiones remotas
• Capturar claves almacenadas en la memoria caché del sistema
• Capturar datos almacenados en el portapapeles.
• Listar los procesos activos en el sistema
• Realizar ataques de distribuidos de denegación de servicio (DDoS)
• Realizar operaciones IRC, FTP y HTTP
• Redireccionar puertos
• Escanear otros sistemas en busca de vulnerabilidades.
• Enviar mensajes de correo utilizando su propio motor SMTP
• Iniciar la ejecución de un programa Sniffer, para monitorización de trafico de red y de programas para capatura de las pulsaciones del teclado.
• Iniciar o terminar procesos
• Capturar Información del sistema 

Toda la info obtenida será enviada al atacante, a la que se añadirá:

• Tipo de conexión
• Velocidad de la CPU
• Nombre del usuario activo
• Fecha y hora
• Espacio disponible en los discos
• Nombre de la máquina
• Dirección Ip
• Tamaño de la memoria
• Sistema operativo
• Ruta del directorio del sistema
• Lista de procesos 

El gusano es capaz de detener la ejecución y eliminar las entradas de registro relativas a otros códigos malignos:

• bbeagle.exe
• d3dupdate.exe
• i11r54n4.exe
• irun4.exe
• MSBLAST.exe
• mscvb32.exe
• PandaAVEngine.exe
• Penis32.exe
• rate.exe
• ssate.exe
• sysinfo.exe
• taskmon.exe
• teekids.exe
• winsys.exe 

También eliminará cualquiera de los siguientes valores de la subclave:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

• Bagle.a
• Bagle.j
• Bagle.k
• Bagle.v
• Bagle.X
• Microsoft Inet Xp..
• Mydoom.h
• Netsky.r
• PandaAVEngine
• Sobig.c
• System MScvb
• TaskMon
• W32.Blaster
• W32.Blaster.B
• W32.Blaster.C

Solución:

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)

   Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
   
   

2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus Gratuitos. Repare o borre el fichero infectado.

   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
   
   

3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
   
   
4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
   
   Elimine las siguientes entradas del registro:
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\netinfo
   ImagePath = ?%Windows%\netinfo.exe?
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\netinfo
   DisplayName = "netinfo"
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\orans
   ImagePath = ?%System%\orans.sys?
   
   Restaure las siguientes entradas del registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
   Center AntiVirusDisableNotify = "dword:00000001" 
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
   Center FirewallDisableNotify = "dword:00000001" 
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security 
   Center Anti VirusOverride = "dword:00000001" 
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
   FirewallOverride = "dword:00000001" 
   
   Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
   UpdatesDisableNotify = "dword:00000001" 
   
   Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
   AUOption = "dword:00000001" 
   
   Nota: El valor por defecto de todas las variables indicadas deberá ser "dword:00000000".
   
   HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\DomainProfile
   EnableFirewall = "dword:00000000" 
   
   HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\StandardProfile
   EnableFirewall = "dword:00000000" 
   
   Nota: El valor por defecto de la variables indicada es establecido por el usuario.
   
   HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate
   DoNotAllowXPSP2 = "dword:00000001" 
   
   Nota: El valor por defecto de la variable indicada deberá ser "dword:00000000".
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wscsvc
   Start = "dword:00000004" 
   
   Nota: El valor por defecto de la variable indicada deberá ser "dword:00000002".
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\OLE
   EnableDCOM = "N"
   
   Nota: El valor por defecto de la variable indicada deberá ser EnableDCOM = "Y".
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
   RestrictAnonymous = "dword:00000001"
   
   
5. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

También puede utilizar para la reparación de los daños producidos por acción de Zotob, las siguientes herramientas específicas ofrecidas por algunos fabricantes de antivirus:

• Panda Software - pulsar sobre Zotob.-versión- y registrarse para la descarga (si no lo ha hecho antes).
• Symantec - descargar el fichero FixZotob.exe.
• McAfee - descargar el fichero Stinger.exe.
• Nod32 - descargar la herramienta de Zotob.A-C (ZTBCLEAN.ZIP).
• Trend Micro - descargar el fichero sysclean.com y seguir los pasos indicados.

Más Información sobre este virus en:

• Trend Micro

Fuente: red.es