Nuevo Virus gusano W32/Lirva@MM que se controla desde DATS 4241 y engine 4.1.60, de propagación masiva a través de e-mail con fichero anexado, a veces ejecutado automáticamente por exploit MIME con sólo leer el e-mail con Outlook Expres si no se tiene actualizado el Internet Explorer, o por IRC , ICQ o KaZaa

Se trata un gusano que ha empezado a infectar ordenadores en nuestro pais, por lo cual la probabilidad de infección es ya alta.

Se propaga mediante envío de e-mails a direcciones que captura de ficheros existentes con las siguientes extensiones, propias de libretas de direcciones, mails recibidos, mails enviados, etc:

El asunto de los e-mails es variado y aleatorio, de entre la siguiente lista

El Texto o contenido del mail lo escoge entre 3 predeterminados, a saber:

"Admission form attached below. Vote for I'm with you! FanList admits you to take in Avril Lavigne 2003 Billboard awards ceremony Avril fans subscription"

Y el nombre del fichero anexado, el gusano propiamente dicho, es aleatorio de entre los siguientes nombres:

Además también se propaga vía ICQ, IRC, y KaZaa, y su principal payload.es robar passwords, además de finalizar los procesos de los principales antivirus y cortafuegos residentes en memoria, a saber:

El gusano se copia a sí mismo en el directorio de sistema de windows usando un nombre de 11 letras generado al azar, como por ejemplo: A33AAAAgbab.EXE, que luego ejecutará desde el registro.

A continuación crea una clave en el registro de sistema que hace ejecutar este fichero cada vez que se reinicia Windows, siguiendo el ejemplo anterior sería:

Otra clave es creada y usada como marca para saber que el sistema ya ha sido infectado:

HKEY_LOCAL_MACHINE\Software\HKLM\Software\OvG\Avril Lavigne

Y también crea otra copia de sí mismo usando uno de los nombres con los que se envía como fichero anexado por e-mail, en la carpeta:

C:\%WINDIR%\TEMP

Además crea otras 4 copias de sí mismo, usando nombres aleatorios, en la carpeta c:\Recycled y añade la ejecución de uno de ellos en el AUTOEXEC.BAT

Ejemplo : @win \RECYCLED\FF177Fe6.exe

En el directorio temporal de windows (%WINDIR%\TEMP), crea un fichero de nombre "avril-ii.inf" que contiene mensajes del autor del virus.

ACTIVACION (PAYLOAD):

El principal payload es el robo de contraseñas existentes en la caché de password de Windows, las cuales envía a una dirección, supuestamente del creador del virus, "otto-xxxx@smtp.ru"

Asimismo finaliza gran cantidad de procesos de antivirus y cortafuegos residentes en memoria, de la lista arriba indicada, además de finalizar los residentes cuyas ventanas incluyan palabras clave, todas ellas correspondientes a funciones o marcas de antivirus, a saber:

El gusano tiene programadas tres fechas de activación de menor importancia, aunque mas vistosa, en los días 7, 11 y 24 de cada mes, de manera que conecta a la página web legal de la cantante Avril Lavigne (http://www.avril-lavigne.com) y además visualiza varias veces el siguiente texto

"AVRIL_LAVIGNE_LET_GO-MY_MUSE:) 2002 (c) Otto von Gutenberg"

presentando a la vez imágenes de figuras geométricas en varios colores, tapando la parte superior de la pantalla

ELIMINACION:

Para la eliminación del virus, hemos creado la utilidad ELILIRVA.EXE, tras cuya ejecución deberá reiniciarse el ordenador y ejecutar el LIMPIA.EXE en sistemas operativos Windows 95, 98 y Me, o el LIMPIANT.BAT en sistemas Windows NT, 2000 o XP, evidentemente con DATS mínimos 4241 y motor 4.1.60.

Es importante que antes de ejecutar cualquier utilidad eliminadora de virus, se desactive el VSHIELD residente, lo cual se logra fácilmente pulsando con el Botón derecho sobre el icono del VSHIELD, dentro de la barra de INICIO, e indicar SALIR.

Para descargar las utilidades correspondientes:

Pulsar aquí para bajar el ELILIRVA.EXE

Pulsar aquí para bajar el LIMPIA.EXE

Pulsar aquí para bajar el LIMPIANT.BAT

En el momento de cerrar este informe se nos avisa de la detección de una nueva variante de w32/Lirva que, ademas de las características antes indicadas, variando mensajes, ficheros y asuntos, inserta un BackDoor (Puerta trasera) a través de la cual es posible tomar el control de la máquina infectada y copiar, borrar, modificar, los datos del ordenador víctima:

Se trata de una variante del W32/Lirva, que se propaga masivamente a través de e-mails, IRC, ICQ y KaZaa.

Esta variante se conecta a una web de Kazakistan (se supone que del autor), y descarga el troyano "BackOrifice".

Descarga el archivo: Bo2k.exe, y lo copia en la siguiente carpeta::

C:\Windows\System\Bo2k.exe

Luego crea la siguiente clave de registro::

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SocketListner = C:\Windows\System\Bo2k.exe

SATINFO, VIRUSCAN SPAIN SERVICE 9 de Enero de 2003

Anterior