W32/Imaut.U

W32/Imaut.U

Nombre:	W32/Imaut.U Alias: W32.Imaut.U, Worm.W32/Imaut.U@IM
Tipo:	Gusano de e-mail
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1, Registro de Virus al 07/01/2007

Descripción

W32/Imaut.U, es un gusano que se difunde a través del Yahoo Messenger, Microsoft Windows Live Messenger y AOL Instant Messenger. El gusano descarga en forma remota archivos que comprometen la computadora, y deshabilita el Administrador de Tareas y el registro de Windows.

Cuando el gusano se ejecuta descarga archivos de las siguientes rutas en internet:

http://puzzlecircle.com/Gallery/albums/album/[Bloqueado]

Y guarda los archivos en la siguiente ruta:

%system%\svchost32.exe
%system%\svchost.exe

Nota:
- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32)

Adiciona las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"Task Manager" = "%Windows%\System\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Yahoo Messenger" = "%Windows%\System\svchost32.exe"

Nota:

- %windows%, representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

Modifica las siguientes entradas para deshabilitar el Editor de Registro y el Administrador de Tareas de Windows:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableRegistryTools"="1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableTaskMgr"="1"

Modifica la siguiente entrada para evitar que se cambie manualmente la configuración de la página de Inicio del Internet Explorer

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

"Homepage" = "1"

Configura la página de Inicio del Internet Explorer y Yahoo Messenger

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

"Start Page" = "http://quicknews.info"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_buzz

"content url" = "http://quicknews.info"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast

"content url" = "http://quicknews.info"

El gusano busca las ventanas que contengan el título "Mi Pc" o "Explorador de Windows" para redirigirlas a la siguiente ruta:

http://quicknews.info

Finalmente utiliza Yahoo Messenger, Microsoft Windows Live Messenger y AOL Instant Messenger para difundirse a otras Computadoras, envía los siguientes mensajes con un enlace a la lista de contactos, dicho enlace descarga una copia del gusano.

:D who is beside you in this pic http://quicknews.info/friendpic[Bloqueado]"
;) 1 of my vacation pictures http://quicknews.info/vacation[Bloqueado]"
hot pics this week http://quicknews.info/hot[Bloqueado]"
Screenshot of new windows version _ Windows Vista http://quicknews.info/vista[Bloqueado]"
Images shot in Iraq _ The war will never end http://quicknews.info/Iraq[Bloqueado]"
oh my god , i've won a 20000 usd lottery :O http://quicknews.info/mylottery[Bloqueado]"
never click into the links like something in this image http://quicknews.info/dontclick[Bloqueado]"
:( the page cannot be displayed http://quicknews.info/error[Bloqueado]"
My pics http://quicknews.info/mypics[Bloqueado]"
Miss World 2006: http://quicknews.info/MissWorld[Bloqueado]"
Do you realize who is in this image: http://quicknews.info/who[Bloqueado]"