W32/Philis.ik

W32/Philis.IK

Nombre:	W32/Philis.IK Alias: W32/HLLP.Philis.ik
Tipo:	Virus
Tamaño:	70,438 Bytes
Origen:	Internet
Destructivo:	SI
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1, Registro de Virus al 23/03/2007.

Descripción

W32/Philis.IK, es un virus que busca archivos ejecutables en el computador atacado para infectarlos con su código viral, además copia un componente troyano que roba contraseñas.

Cuando el gusano se ejecuta se copia a sí mismo dentro de:

%windows%\uninstall\rundl132.exe

También copia el siguiente archivo dentro de:

%windows%\RichDll.dll

Nota:

- %windows% representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

También modifica la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"Load"="%windows%\uninstall\rundl132.exe"

También crea las siguientes entradas en el registro

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\"auto"="1"

Seguidamente finaliza los siguientes procesos relacionados a programas de seguridad:

EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
Ravmond.EXE
regsvc.exe
mcshield.exe

Seguidamente une a su componente "RichDll.dll" dentro de los procesos del "iexplore.exe" y "explorer.exe", este componente intentará descargar un troyano que roba contraseñas como el Trojan/Lineage y los copia dentro de:

C:\Documents and Settings\%USER%\Local Settings\Temp\[Nombre_Aleatorio].sys

Finalmente el gusano realiza las siguientes acciones:

Envía paquetes ICMP con el mensaje "Hello,World"
Crea el archivo "_desktop.ini" en las carpetas donde encontró los archivos ejecutables, dicho archivo tiene atributos de Oculto y de sistema, este contiene la fecha en que se ejecuto el gusano.