W32/agent.bky

W32/Agent.BKY

Nombre:	W32/Agent.BKY Alias: Trojan-Downloader.Win32.Agent.bky, Trojan-Downloader.W32/Agent.BKY, W32/Fujacks.aa, W32.Fubalca, ANIWorm, PE_FUBALCA.A-O
Tipo:	Gusano
Tamaño:	12,800 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1 al 01/04/2007.

Descripción:

W32/Agent.BKY, es un gusano del tipo downloader, el gusano infecta archivos ".html" y ".php", además se difunde a través de unidades de almacenamiento USB.

Cuando el gusano se ejecuta crea los siguientes archivos

%system%\sysload3.exe
%system%\tempIcon.exe
%system%\tempload.exe
%system%\[Caracteres Aleatorios].tmp

Nota:

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).

Además crea las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"System Boot Check"="%system%\sysload3.exe"

Seguidamente el gusano une sus procesos dentro de los procesos del "notepad.exe" y "IExplore.exe" e intenta descargar un archivo de configuración desde el siguiente sitio:

http://a.2007ip.com

Luego intenta descargar y ejecutar archivos desde la siguiente dirección remota:

http://61.153.247.76/cald/01.[Bloqueada]

También modifica el archivo HOSTS con los siguientes valores:

127.0.0.1 localhost
127.0.0.1 mmm.caifu18.net
127.0.0.1 www.18dmm.com
127.0.0.1 d.qbbd.com
127.0.0.1 www.5117music.com
127.0.0.1 www.union123.com
127.0.0.1 www.wu7x.cn
127.0.0.1 www.54699.com
127.0.0.1 60.169.0.66
127.0.0.1 60.169.1.29
127.0.0.1 www.97725.com
127.0.0.1 down.97725.com
127.0.0.1 ip.315hack.com
127.0.0.1 ip.54liumang.com
127.0.0.1 www.41ip.com
127.0.0.1 xulao.com
127.0.0.1 www.heixiou.com
127.0.0.1 www.9cyy.com
127.0.0.1 www.hunll.com
127.0.0.1 www.down.hunll.com
127.0.0.1 do.77276.com
127.0.0.1 www.baidulink.com
127.0.0.1 adnx.yygou.cn
127.0.0.1 222.73.220.45
127.0.0.1 www.f5game.com
127.0.0.1 www.guazhan.cn
127.0.0.1 wm,103715.com
127.0.0.1 www.my6688.cn
127.0.0.1 i.96981.com
127.0.0.1 d.77276.com
127.0.0.1 www1.cw988.cn
127.0.0.1 cool.47555.com
127.0.0.1 www.asdwc.com
127.0.0.1 55880.cn
127.0.0.1 61.152.169.234
127.0.0.1 cc.wzxqy.com
127.0.0.1 www.54699.com

El gusano infecta archivos con las extensiones .exe, .asp, .jsp, .php, .htm, .aspx, y .html que encuentre en las unidades desde la "A:" hasta la "Z:" con excepción de la unidad donde Windows se encuentra instalado.

Finalmente el gusano se copia a si mismo en la unidad raiz de todas las unidades que encuentre en el computador atacado incluyendo las unidades extraíbles:

tool.exe
autorun.inf