El gusano se copia a si mismo en la carpeta de
Windows con el siguiente nombre:
c:\windows\avserve.exe
NOTA: La carpeta "c:\windows" puede variar de acuerdo al
sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en
9x, Me, XP, etc.).
También crea los siguientes archivos:
c:\win.log
c:\windows\system32\#_up.exe (varias copias)
Donde # es un número de cinco dígitos, ejemplos:
c:\windows\system32\15643_up.exe
c:\windows\system32\12383_up.exe
c:\windows\system32\21730_up.exe
Modifica la siguiente entrada en el registro para
autoejecutarse en cada reinicio de Windows:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
avserve = avserve.exe
El gusano inicia 128 hilos de ejecución para escanear
direcciones IP seleccionadas al azar por el puerto TCP/445,
buscando sistemas vulnerables. TCP/445 es el puerto por defecto
para el servicio vulnerable, SMB (Server Message Block).
Esto ocasiona a veces, el fallo de las computadoras que no
tienen el parche MS04-011 instalado.
En Windows XP, se muestra una ventana con un mensaje muy similar
al siguiente:
LSA Shell (Export Version) ha encontrado un problema
y debe cerrarse. Sentimos los inconvenientes ocasionados.
En Windows 2000 puede aparecer una ventana casi idéntica a la
provocada en Windows XP por el gusano Blaster (Lovsan):
Apagar el sistema
Se está apagando el sistema. Guarde todo
trabajo en curso y cierre la sesión. Se perderá
cualquier cambio que no haya sido guardado.
El apagado ha sido iniciado por NT
AUTORITHY\SYSTEM
Tiempo restante
para el apagado: xx:xx:xx
Mensaje
El proceso del sistema
C:\WINNT\system32\lsass.exe terminó
de forma inesperada indicando código 0
Windows debe reiniciar ahora.
El gusano detecta la versión del sistema operativo, y utiliza
diferentes exploits para Windows XP y Windows 2000 (exploit
universal), y para Windows 2000 Advanced Server (SP4 exploit).
Windows 9x, Me y NT, no son vulnerables.
Si el ataque es exitoso, un shell (intérprete de comandos), es
iniciado en el puerto TCP/9996.
A través del shell, se instruye al equipo remoto a descargar y
ejecutar el gusano desde la computadora infectada, utilizando el
protocolo FTP. Para ello, se crea y ejecuta en dicho equipo un
script llamado CMD.FTP. El script descarga y ejecuta a su vez al
gusano propiamente dicho (con el nombre #_UP.EXE, donde # es un
número de cinco dígitos), provocando la infección.
El servidor FTP escucha por el puerto TCP/5554 en todos los
equipos infectados, con el propósito de permitir la descarga del
gusano en otros sistemas que así también son infectados.
El archivo C:\WIN.LOG registra todas las transacciones FTP
realizadas.
El gusano crea el siguiente mutex para no ejecutarse más de una
vez en memoria:
Jobaka3l
Reparación manual
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la
conexión de este y cualquier otro troyano con Internet, así como
cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de cualquier
adjunto con posibilidades de poseer virus (sin necesidad de
tener que actualizarlo con cada nueva versión de un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
IMPORTANTE:
Instalar parches para la vulnerabilidad LSASS (MS04-011) antes
de cualquier otra acción a tomar para la limpieza del gusano.
MS04-011 Actualización crítica de Windows (835732)
http://www.vsantivirus.com/vulms04-011.htm
Deshabilitar los recursos compartidos
Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.
Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes
archivos:
c:\win.log
c:\windows\avserve.exe
c:\windows\system32\#_up.exe (varias copias)
Donde # es un número de cinco dígitos, ejemplos:
c:\windows\system32\15643_up.exe
c:\windows\system32\12383_up.exe
c:\windows\system32\21730_up.exe
Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera de
reciclaje".
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
avserve
4. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
|