W32/Sohanad.AC

W32/Sohanad.AC

Nombre:	W32/Sohanad.AC Alias: WORM_SOHANAD.AC
Tipo:	Gusano de e-Mail
Tamaño:	Variable
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.0, Registro de Virus al 01/11/2006.

Descripción

W32/Sohanad.AC, es un gusano que se difunde a través del Yahoo Messenger, descarga y ejecuta archivos, finaliza procesos, modifica las configuraciones del Internet Explorer y configuraciones de seguridad del computador atacado.

Cuando el gusano se ejecuta se copia a si mismo como:

%windows%\svhost32.exe
%windows%\svhost.exe

Nota:

- %windows% representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

Además modifica la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"Task Manager"="%windows%\svhost32.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"SVCHOST"="%windows%\svhost.exe"

También modifica las siguientes entradas para deshabilitar el Administrador de Tareas y Editor de Registro de Windows

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableRegistryTools"="1"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

"DisableTaskMgr"="1"

Modifica la siguiente entrada para evitar que se cambie manualmente la configuración de la página de Inicio del Internet Explorer

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel

"Homepage"="1"

Configura la página de Inicio del Internet Explorer y Yahoo Messenger

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

"Start Page"="http://[bloqueado]sl-school.org"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_buzz

"content url"="http://[bloqueado]sl-school.org"

HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast

"content url"="http://[bloqueado]sl-school.org"

Finalmente el gusano utiliza Yahoo Messenger para difundirse a otras Computadoras, envía los siguientes mensajes con un enlace, dicho enlace descarga una copia del gusano.

check out my new personal website : http://[bloqueado]termex.com c0ol !!!
damn, she is so cute :x http://[bloqueado]sl-school.org/?id=miss_world :x:x:x:x:x
Fuck you all X-( http://[bloqueado]sl-school.org/?id=password <<
have you ever seen such a silly man like this ? http://[bloqueado]sl-school.org/?id=stories =))
look at my new lover : http://[bloqueado]termex.com/darling.jpg :x:x
the only way to clean some online viruses that may lead you into troubles : http://[bloqueado]termex.com/?id=ie_protector <<