Trojan/Magise
Imprimir descripción de Virus
Nombre: Trojan/Magise
Alias: Trojan.Magise
Tipo: Troyano
Tamaño: Variable
Origen: Internet
Destructivo: NO
En la calle  (in the wild): SI
Detección y eliminación: The Hacker 5.7 al 22/03/2005

Descripción:

Trojan/Magise, es un troyano que se difunde aprovechando la vulnerabilidad de Microsoft Internet Explorer HTML Help Control Local Zone Security Restriction Bypass, descrito en el boletín de seguridad MS05-001 permitiendo la descarga de archivos desde sitios remotos.

Cuando el troyano se ejecuta intenta copiar el siguiente archivo aprovechando la vulnerabilidad antes mencionada:

Donde: [unidad] es la unidad raíz donde Windows fue instalado, por defecto es la unidad "C:"

Seguidamente intentará descargar un archivo del dominio http://69.50.182.8x/file/loadsp2.exe, dicho archivo es guardado y ejecutado posteriormente en la computadora atacada como:

Registra el archivo "msearch.dll" como un Browser Helper Object (BHO), se adicionará una barra de búsqueda en el Internet Explorer.

HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}\InprocServer32
"(predeterminado)"="C:\msearch.dll"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\InprocServer32
"(predeterminado)"="C:\msearch.dll"

HKEY_CLASSES_ROOT\CLSID\{FFF5092F-7172-4018-827B-FA5868FB0478}\InprocServer32
"(predeterminado)"="C:\msearch.dll"

HKEY_CLASSES_ROOT\TypeLib\{84C94803-B5EC-4491-B2BE-7B113E013B77}\1.0\0\win32
"(predeterminado)"="C:\msearch.dll"

También adiciona las siguientes entradas en el registro:

 

HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}\InprocServer32
"ThreadingModel"="Apartment"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\InprocServer32
"ThreadingModel"="Apartment"

HKEY_CLASSES_ROOT\CLSID\{FFF5092F-7172-4018-827B-FA5868FB0478}\InprocServer32
"ThreadingModel"="Apartment"
 

HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}\ProgID
"(predeterminado)"="ZToolbar.StockBar.1"

HKEY_CLASSES_ROOT\ZToolbar.StockBar\CurVer
"(predeterminado)"="ZToolbar.StockBar.1"


HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\ProgID
"(predeterminado)"="ZToolbar.activator.1"

HKEY_CLASSES_ROOT\ZToolbar.ParamWr\CurVer
"(predeterminado)"="ZToolbar.activator.1"
 

HKEY_CLASSES_ROOT\CLSID\{FFF5092F-7172-4018-827B-FA5868FB0478}
"(predeterminado)"="ZToolbar Activator Class"

HKEY_CLASSES_ROOT\ZToolbar.activator.1
"(predeterminado)"="ZToolbar Activator Class"

HKEY_CLASSES_ROOT\ZToolbar.activator
"(predeterminado)"="ZToolbar Activator Class"
 

HKEY_CLASSES_ROOT\ZToolbar.activator.1\CLSID
"(predeterminado)"="{FFF5092F-7172-4018-827B-FA5868FB0478}"

HKEY_CLASSES_ROOT\ZToolbar.activator\CLSID
"(predeterminado)"="{FFF5092F-7172-4018-827B-FA5868FB0478}"
 

HKEY_CLASSES_ROOT\ZToolbar.ParamWr.1
"(predeterminado)"="CParamWr Class"

HKEY_CLASSES_ROOT\ZToolbar.ParamWr
"(predeterminado)"="CParamWr Class"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}
"(predeterminado)"="CParamWr Class"
 

HKEY_CLASSES_ROOT\ZToolbar.ParamWr.1\CLSID
"(predeterminado)"="{D7BF3304-138B-4DD5-86EE-491BB6A2286C}"

HKEY_CLASSES_ROOT\ZToolbar.ParamWr\CLSID
"(predeterminado)"="{D7BF3304-138B-4DD5-86EE-491BB6A2286C}"
 

HKEY_CLASSES_ROOT\ZToolbar.StockBar.1
"(predeterminado)"="ZToolbar"

HKEY_CLASSES_ROOT\ZToolbar.StockBar
"(predeterminado)"="ZToolbar"
 

HKEY_CLASSES_ROOT\ZToolbar.StockBar.1\CLSID
"(predeterminado)"="{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}"

HKEY_CLASSES_ROOT\ZToolbar.StockBar\CLSID
"(predeterminado)"="{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}"
 

HKEY_LOCAL_MACHINE\Software\MagicSearchCo\MagicSearch
"DateTimeHigh"="[Valor DWORD]"

HKEY_LOCAL_MACHINE\Software\MagicSearchCo\MagicSearch
"DateTimeLow"="[valor DWORD]"

HKEY_LOCAL_MACHINE\Software\MagicSearchCo\MagicSearch
"DisplayName"="Magic Search Toolbar"

HKEY_LOCAL_MACHINE\Software\MagicSearchCo\MagicSearch
"UninstallString"="regsvr32 /u /s "C:\msearch.dll""

HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}
"(predeterminado)"="Magic Search Toolbar"

HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}\VersionIndependentProgID
"(predeterminado)"="ZToolbar.StockBar"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\MiscStatus
"(predeterminado)"="0"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\MiscStatus\1
"(predeterminado)"="131473"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\ToolboxBitmap32
"(predeterminado)"="C:\msearch.dll, 105"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\Version\
"(predeterminado)"="1.0"

HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\VersionIndependentProgID
"(predeterminado)"="ZToolbar.ParamWr"

HKEY_CLASSES_ROOT\CLSID\{FFF5092F-7172-4018-827B-FA5868FB0478}\VersionIndependentProgID
"(predeterminado)"="ZToolbar.activator"

HKEY_CLASSES_ROOT\TypeLib\{84C94803-B5EC-4491-B2BE-7B113E013B77}\1.0\HELPDIR
"(predeterminado)"="C:\"

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar
"{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}"="[valor binario]"
 

El troyano crea las siguientes entradas en el registro


HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.activator
HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.activator.1
HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.ParamWr
HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.ParamWr.1
HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.StockBar
HKEY_LOCAL_MACHINE\Software\Classes\ZToolbar.StockBar.1
 

El troyano se activará cuando Internet Explorer es ejecutado y seguidamente intentará descargar un archivo de configuración e interpretar su contenido desde los siguientes dominios:

Utiliza los datos del archivo de configuración que se descargo para crear enlaces relacionados a ventanas emergentes de publicidad (popup)

También utiliza el archivo de configuración para dirigir al troyano a que realice acciones de troyano backdoor como:

Luego sobrescribe el archivo HOSTS que se encuentra en %system%\drivers\etc\, con el siguiente texto:

 

Los sitios que no se pueden encontrar o fueron digitados mal se direccionan a través de un servidor Web malicioso en lugar del portal de Microsoft (auto.search.msn.com) mostrando como resultado paginas de publicidad no solicitadas.

 

Finalmente muestra como página de inicio del Internet Explorer el siguiente sitio Web www.online-service.cc, sin importar que en las configuraciones del Internet Explorer el usuario tenga configurada otra dirección como página de inicio.

 

 

Derechos reservados 1992/2005 HackSoft S.R.L. Lima-Perú