W32/Philis.fv

W32/Philis.FV

Nombre:	W32/Philis.FV Alias: W32/HLLP.Philis.fv, Worm.Win32.Viking.gp, PE_LOOKED.TE-O, W32.Looked.BK
Tipo:	Virus
Tamaño:	45,147 Bytes
Origen:	Internet
Destructivo:	SI
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1, Registro de Virus al 12/02/2007.

Descripción

W32/Philis.FV, es un virus que busca archivos ejecutables en el computador atacado para infectarlos con su código viral, además copia un componente troyano que roba contraseñas.

Cuando el gusano se ejecuta se copia a sí mismo dentro de:

%windows%\uninstall\rundl132.exe

También copia el siguiente archivo dentro de:

%windows%\RichDll.dll

Nota:

- %windows% representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

También modifica la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"Load"="%windows%\uninstall\rundl132.exe"

También crea las siguientes entradas en el registro

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\"auto"="1"

Seguidamente finaliza los siguientes procesos relacionados a programas de seguridad

EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
Ravmond.EXE
regsvc.exe
mcshield.exe

Intenta detener el siguiente servicio relacionado a un programa antivirus de nombre "Kingsoft Antivirus"

Seguidamente une a su componente "RichDll.dll" dentro de los procesos del "explorer.exe", este componente intentará descargar un troyano que roba contraseñas como el Trojan/Lineage y los copia dentro de:

C:\Documents and Settings\%USER%\Local Settings\Temp\[Nombre_Aleatorio].sys
C:\Documents and Settings\%USER%\Local Settings\Temp\nuj9.dll

Finalmente el gusano realiza las siguientes acciones:

Envía paquetes ICMP con el mensaje "Hello,World"
Crea el archivo "_desktop.ini" en las carpetas donde encontró los archivos ejecutables, dicho archivo tiene atributos de Oculto y de sistema, este contiene la fecha en que se ejecuto el gusano.