W32/Imaut.S

W32/Imaut.S

Nombre:	W32/Imaut.S Alias: W32.Imaut.S
Tipo:	Gusano de email
Tamaño:	184,374 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1, Registro de Virus al 08/12/2006

Descripción

W32/Imaut.S, es un gusano que se difunde a través del Yahoo Messenger, descarga y ejecuta archivos, finaliza procesos, modifica las configuraciones del Internet Explorer y configuraciones de seguridad del computador atacado.

Cuando el gusano se ejecuta se copia a si mismo como:

%windows%\vnn.exe

Nota:

- %windows%, representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

Además modifica la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"Task Manager"="%windows%\vnn.exe"

También modifica las siguientes entradas para deshabilitar el Administrador de Tareas y Editor de Registro de Windows:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableRegistryTools"="1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableTaskMgr"="1"

Modifica la siguiente entrada para evitar que se cambie manualmente la configuración de la página de Inicio del Internet Explorer

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel

"Homepage"="1"

Configura la página de Inicio del Internet Explorer y Yahoo Messenger

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

"Start Page"="http://csoft32.net"

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Main

"Window Title"="http://csoft32.net"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_buzz

"content url"="http://csoft32.net"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast

"content url"="http://csoft32.net"

Finalmente el gusano utiliza Yahoo Messenger para difundirse a otras Computadoras, envía los siguientes mensajes con un enlace, dicho enlace descarga una copia del gusano.

Angelina Jolie... [enlace]
o0(^-^)0o N.U.D.E o0(^-*)0o... [enlace]
Oh my GOD #... [enlace]
Beauty KIDs... [enlace]
How Windows XP Wasted $25 Billion of Energy... [enlace]
Sony finds defect in Cyber-shot digicams... [enlace]
For iTunes hacker, the freedom of the open code ... [enlace]
Police blotter: Child porn in Web cache OK... [enlace]
IBM agrees to pay $65M to settle overtime suit... [enlace]
Symantec unveils beta of Norton 360 service... [enlace]

Donde: [enlace], es el siguiente http://csoft32.net