W32/Elitper.F

W32/Elitper.F@MM

Nombre:	W32/Elitper.F@MM Alias: W32.Elipter.F@mm, Email-Worm.Win32.Micsur.c
Tipo:	Gusano
Tamaño:	36,055 bytes
Origen:	Internet
Destructivo:	SI
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 5.8, Registro de Virus al 23/05/2005

Descripción

W32/Elitper.F@MM, es un gusano que intenta difundirse utilizando MS Outlook y la red de intercambio de archivos P2P (Kazaa, Edonkey, Morpheus, etc), el gusano finaliza procesos, elimina archivos y cambia las configuraciones de seguridad en el computador atacado.

Características del Mensaje de Email:

Asunto: Torrie Wilson And Stacy Keibler Nude Pictures

Cuerpo: If you're Under 18 Please Don't Download It

Archivo Adjunto: Torrie & Stacy Nude ScreenSaver.exe

-----------------------------

Cuando el gusano se ejecuta se copia a sí mismo en:

%windows%\TASKMGR.EXE
%Program files%\Internet Explorer\Iexplore .exe
%Program files%\Internet Explorer\Norton Internet Security.exe
%Program files%\Windows Media Player\svchost.exe
%ProgramFiles%\SP2 UPDATE.exe
%Userprofile%\Start Menu\Programs\Startup\XPStartup.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\XPStartUp.exe
C:\Torrie&Stacy.exe
C:\ProgramFiles\Torrie&Stacy.exe

Nota:

- %windows% representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

- %Program Files% es la carpeta por defecto donde se encuentran instaladas las aplicaciones.

También modifica las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"Firewall"="%Program Files%\SP2 UPDATE.exe"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"Protection"="%Program Files%\Internet Explorer\Norton Internet Security.exe"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"SysRes"="%Program Files%\Internet Explorer\IExpIore .exe"

También modifica los siguientes valores para intentar en deshabilitar los niveles de seguridad de la computadora atacada y evitar que se ejecuten las siguientes tareas como ejecutar el Administrador de Tareas, El Editor de Registro (Regedit), ejecutar programas a través de Inicio - Ejecutar y el Windows Update.

HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center

"AntiVirusDisableNotify" = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center

"FirewallDisableNotify" = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center

"FirewallOverride" = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center

"AntiVirusOverride" = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center

"UpdatesDisableNotify" = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services

"wscsvc" = "4"

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall

"DomainProfile" = "0"

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\StandardProfile

"EnableFirewall" = "0"

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions

"NoFileOpen" = "1"

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions

"NoPrinting" = "1"

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions

"NoBrowserSaveAs" = "1"

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions

"NoBrowserClose" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableRegistryTools" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableTaskMgr" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

"DisallowRun" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

"NoRun" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

"NoFind" = "1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

"NoCloseKey" = "1"

Se copia a si mismo dentro de la carpeta compartida de programas de Intercambio de archivos P2P (KaZaA, KaZaA Lite, BearShare, Edonkey2000, Grokster, KMD, Shareaza y Morpheus) con el nombre de archivo "Torrie & Stacy Nude ScreenSaver.exe"

Luego modifica la siguiente entrada en el registro para asegurarse que los archivos de la carpeta compartida del KaZaA estén compartidos

HKEY_CURRENT_USER\Software\Kazaa\LocalContent
"DisableSharing"="0"

Seguidamente copia un archivo de texto dentro de la carpeta raiz del computador con el nombre de archivo "Virus Detected.txt"

También modifica el archivo SCRIPT.INI del mIRC si existe en el computador atacado, agregando una entrada, de esta manera tratara de enviarse a si mismo cuando el usuario se conecte a un canal de chat.

También modifica las siguientes entradas en el registro

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion

"RegisteredOwner"="surconfluge"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\ComputerName\ActiveComputerName

"ComputerName" = "surconfluge"

Seguidamente adiciona entradas en el registro para que los siguientes programas no se puedan ejecutar: