W32/Kibtos

W32/Kibtos

Descripción:

W32/Kibtos, es un gusano que se difunde a través de unidades removibles y carpetas compartidas en la red

Cuando el gusano se ejecuta se copia a si mismo con todos sus componentes dentro de:

Nota:

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).

Además crea la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell"="Explorer.exe %windows%\csrss.exe"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot
"AlternatShell"="%system%\drivers\intel.exe"

El gusano cambia las siguientes configuraciones para deshabilitar el "Administrador de Tareas", "Editor de Registro" y "Opciones de Carpeta"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\"NoFolderOptions"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\"LimitSystemRestoreCheckpointing"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\"DisableMSI"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\"DisableConfig"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\"DisableSR"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"Hidden"="0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"HideFileExt"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"ShowSuperHidden"="0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\"Nofolderoptions"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\"exefile"="File Folder"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\"Auto"="1"

Seguidamente el gusano intenta copiarse en unidades removibles que encuentre en el computador atacado, utiliza los siguientes archivos

Finalmente termina procesos que en su nombre tengan los siguientes textos: