Tema: IRCBot.OX. Controla PC infectado vía IRC (MS05-039)

[Danae]

IRCBot.OX. Controla PC infectado vía IRC (MS05-039)

Nombre: IRCBot.OX
Nombre NOD32: Win32/IRCBot.OX
Nombre más conocido: Zotob.L
Tipo: Gusano y caballo de Troya
Alias: IRCBot.OX, Zotob.L, Backdoor.SDBot.68981B50, Backdoor.Win32.Rbot.aaf, W32.Zotob.L, W32/Generic.b.worm, W32/Generic.B-wm, W32/Ruxbot-A, W32/Zotob.F, Win32.HLLW.ForBot.based, Win32.MS05-039!exploit, Win32/IRCBot.OX, Worm/Generic.AT
Plataforma: Windows 32-bit
Tamaño: 178,176 bytes
Puertos: TCP 8080, 445

Gusano y caballo de Troya de acceso remoto que puede ser controlado vía IRC, y que se propaga utilizando varias vulnerabilidades, entre ellas la descripta en el boletín MS05-039 de Microsoft:

MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm

El gusano se mantiene siempre en ejecución en segundo plano, proveyendo un servidor de puerta trasera que permite a un atacante remoto obtener acceso y controlar el equipo infectado a través de canales de IRC.

Cuando se ejecuta por primera vez, crea los siguientes archivos:
c:\windows\system32\windbg32.exe
c:\windows\system32\msdirect.dll

Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows Debugger = windbg32.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Windows Debugger = windbg32.exe
También modifica valores en las siguientes entradas (Windows XP SP2), para evitar el cortafuegos del SP2:
HKLM\SYSTEM\CurrentControlSet
\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile\GloballyOpenPorts\List

HKLM\SYSTEM\CurrentControlSet
\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile\AuthorizedApplications\List
Se conecta a un servidor de IRC en el siguiente dominio por el puerto TCP 8080 y queda a la espera de comandos de un atacante remoto:
p.wallload.com
Algunas de las acciones posibles:
- Actualizarse a si mismo
- Borrar archivos
- Borrar el propio gusano del equipo infectado
- Comunicarse a un servidor remoto vía HTTP
- Copiarse en carpetas compartidas de otras máquinas
- Descargar y ejecutar archivos desde el servidor IRC
- Descargar, instalar y ejecutar otros programas
- Distribuirse por canales de IRC
- Enviar mensajes de notificación a determinadas direcciones
- Escanear puertos
- Finalizar procesos
- Inyectar su código en el proceso del EXPLORER.EXE
- Listar procesos
- Unirse a un canal de IRC específico
Para propagarse, el gusano intenta explotar las siguientes vulnerabilidades:

MS03-049 Falla en servicio Estación de Trabajo (828749)
http://www.vsantivirus.com/vulms03-049.htm
MS04-007 ASN.1 de Windows: Ejecución de código (828028)
http://www.vsantivirus.com/vulms04-007.htm
MS05-017 Ejecución de código (Message Queuing) (892944)
http://www.vsantivirus.com/vulms05-017.htm
MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm

Reparación IMPORTANTE:
Instalar los siguientes parches si aún no lo ha hecho:
MS03-049 Falla en servicio Estación de Trabajo (828749)
http://www.vsantivirus.com/vulms03-049.htm
MS04-007 ASN.1 de Windows: Ejecución de código (828028)
http://www.vsantivirus.com/vulms04-007.htm
MS05-017 Ejecución de código (Message Queuing) (892944)
http://www.vsantivirus.com/vulms05-017.htm
MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm

Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
5. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/ircbot-ox.htm