| W32/Hakaglan |
|
| Nombre: | W32/Hakaglan Alias: W32/Hakaglan.worm.gen, Win32/Hakaglan.I.worm, W32/Hakag-A |
| Tipo: | Gusano |
| Tamaño: | Variable |
| Origen: | Internet |
| Destructivo: | NO |
| En la calle (in the wild): | SI |
| Detección y eliminación: | The Hacker 6.1 y 6.2 al 14/07/2007 |
Descripción:
W32/Hakaglan, es un gusano que se difunde a través de recursos compartidos en la red local, además intenta comunicarse con un servidor remoto vía HTTP.
Cuando el gusano se ejecuta se copia a si mismo dentro de:
%windows%\hinhem.scr
%windows%\scvhsot.exe
%system%\blastclnnn.exe
%system%\scvhsot.exe
También crea los siguientes archivos:
%system%\autorun.ini
%system%\setting.ini
Nota:
- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).
Además crea la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"Yahoo Messenger"="%system%\scvhsot.exe"
También modifica la siguiente entrada para poder ejecutarse en el inicio
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell"="Explorer.exe scvhsot.exe"
El gusano cambia las siguientes configuraciones para deshabilitar el "Administrador de Tareas", "Editor de Registro" y "Opciones de Carpeta"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableTaskMgr"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableRegistryTools"="1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
"NofolderOptions"="1"
Finalmente el gusano intenta conectarse a un servidor remoto vía HTTP.
Derechos reservados 1992/2007 HackSoft S.R.L. Lima-Perú