W32/Imaut.D

W32/Imaut.D

Nombre:	W32/Imaut.D Alias: W32.Imaut.D
Tipo:	Gusano de email
Tamaño:	185,162 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.0, Registro de Virus al 14/10/2006.

Descripción

W32/Imaut.D, es un gusano que se difunde a través del Yahoo Messenger, Windows Live Messenger y Messenger AOL, descarga y ejecuta archivos, finaliza procesos, modifica las configuraciones del Internet Explorer y configuraciones de seguridad del computador atacado.

Cuando el gusano se ejecuta se copia a si mismo como:

%windows%\svchost32.exe

Además modifica la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"Task Manager"="%windows%\svchost32.exe"

También modifica las siguientes entradas para deshabilitar el Administrador de Tareas y Editor de Registro de Windows:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableRegistryTools"="1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableTaskMgr"="1"

Modifica la siguiente entrada para evitar que se cambie manualmente la configuración de la página de Inicio del Internet Explorer

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel

"Homepage"="1"

Configura la página de Inicio del Internet Explorer y Yahoo Messenger:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

"Start Page"="http://www.saoonline.info"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_buzz

"content url"="http://www.saoonline.info"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast

"content url"="http://www.saoonline.info"

Utiliza Yahoo Messenger para difundirse a otras Computadoras, envía los siguientes mensajes con un enlace, dicho enlace descarga una copia del gusano.

Moi lam trang web nay, moi nguoi cho y kien [enlace]
HOT HOT, girl xinh cac truong PTTH o Ha Noi ? [enlace]
Goi dien thoai mien phi trong Viet Nam : " & [enlace] & " >:D<
Hay vao day : " & [enlace] & " de binh chon cho hoa khoi Viet Nam
Goi dien VOIP free tu 19 - 9 den 10 - 10 ne` [enlace] <<
Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: [enlace]
Trang web cam phu nu co thai va tre em duoi 18 tuoi : [enlace] << 8->
di'nh virus ru`i =)) du`ng cai nay ma diet na`y : [enlace]
sVao` ho trang web nay` voi, mang cham qua khong vao duoc : " & [enlace] & "
sDownload free MP3s : " & [enlace] & " <<
sAi co dien thoai di dong vao day tai nhac chuong : " & [enlace] & " C00l !!!
sHOT HOT, toan bo cac bai hat trong game audition : [enlace] <<
sGoi dien thoai mien phi trong Viet Nam : " & [enlace] & " X-(
sDanh sach cac trang web bi dinh virus " & [enlace] & " moi nguoi nen cap nhat de de phong <<
s=> NewSong of Nk -=- Let luv ur life !! Check it...Hay lam' na`.. [enlace]
scheck this link for me : " & [enlace] & " . Why I cannot surf this site ???

Donde: [enlace], es el siguiente http://www.saoonline.info/[xxxxxxxx]

Finalmente el gusano termina los siguientes procesos

Bkav2006.exe
IEProt.exe
svhost32.exe
svchost32.exe
bdss.exe
vsserv.exe