VIRUS W32/Cholera.worm:

Nombre de virus : W32/Cholera.worm+W32/CTX

Alias conocidos : Cholera,CTX (Simbiosis)

Peligrosidad : Baja ( Baja. Alta, Muy Alta)

Activación : infecta local, envía worm y genera CTX

Propagación : por e-mail de Internet (worm)

Detección : VIRUSCAN Desde 4044 o EXTRA.DAT

Infección actual : Inicial (Inicial, Media, Elevada)

NUEVO VIRUS CALIFICADO COMO DE ALTA PROPAGACION W32/CHOLERA.worm + W32/CTX

Gusano de Internet creado por hacker GriYo del grupo /29A ya conocido por ser autor de otros virus como Marburg y HPE

Llega como mensaje de un conocido, con asunto un smiley "J " y como cuerpo unicamente el nombre y dirección del remitente..

Lleva anexado un SETUP.EXE que es el portador del virus, cuyo icono es el típico de un autoexpandible, caja abierta con icono de fondo. Al ejecutarlo parece corrupto, pero luego se expande a todas las unidades de red, modificando el WIN.INI con un RUN=\trayecto\

\RPCSRV.EXE (trayecto puede ser WINDOWS, WIN95, WIN98,etc)

Es compatible con todos los sistemas de WIN32, por lo que en NT en lugar de modificar el WIN.INI, modifica el Registro de Sistema.

En el próximo arranque queda como tarea activa, captura nombre del usuario, nombre del dominio, y servidor SMTP, y luego las direcciones de correo a quienes envía el worm y, acabado ello, se muta en virus CTX , si bien su activación se limita a efectos de video

El CTX que crea es un infector de PE no residente, de alto grado de encriptación, sin efectos peligrosos (solo invierte colores a los 6 meses de haber sucedido la infección del fichero que se ejecuta),

Infecta los ficheros de todos los directorios menos del ROOT..

Su especial característica es el doble virus que entraña, Cholera /CTX

siendo el Cholera gusano con previsible alta propagación y el CTX un infector de PE de difícil detección, por su alto grado de encriptación..

Disponemos de fichero EXTRA.DAT para control de estos virus

Para controlar el CTX, dado su alto grado de encriptación, es preciso además ejecutar el último SUPERDAT existente en nuestra web, y disponer del engine 4035, además de copiar también el EXTRA.DAT.

SATINFO, VIRUSCAN SPAIN SERVICE
Anterior