Tema: IRCBot.PH. Utiliza la tecnología anticopia de Sony

[Danae]

IRCBot.PH. Utiliza la tecnología anticopia de Sony

Nombre: IRCBot.PH
Nombre NOD32: Win32/IRCBot.PH
Nombres más conocidos: Brepibot, Breplibot, Ryknos, Stinx
Tipo: Gusano y caballo de Troya
Alias: IRCBot.PH, Backdoor.Breplibot.b, BackDoor.Generic.TTH, Backdoor.IRC.Snyd.A, Backdoor.IRC.Snyd.B, Backdoor.Ryknos, Backdoor.Win32.Breplibot.b, Backdoor.Win32.Breplibot.c, BackDoor.Xbot, Backdoor.xBot.21, Backdoor/Breplibot.b, Bck/Ryknos.A, BKDR_BREPLIBOT.C, BKDR_BREPLIBOT.D, Posible_Worm32, TR/IRC.Ryknos.A, Troj/Stinx-E, Troj/Stinx-F, Trojan.Brepibot, Trojan.Downloader.Small-882, Trojan.Ryknos.A, Trojan/IRC.Ryknos.A, W32/Brepibot, W32/Brepibot.D!tr, W32/Brepibot.H!tr, W32/Brepibot-tr, W32/Malware, W32/Ryknos.A, W32/Ryknos.B, Win32/IRCBot.PH, Win32/OutsBot.U!CME-589!Trojan, Win32/OutsBot.V!Trojan
Fecha: 31/oct/05
Actualizado: 10/nov/05
Plataforma: Windows 32-bit
Tamaño: 10,240 bytes (UPX), 45,056 bytes

Gusano y caballo de Troya de acceso remoto que puede ser controlado vía IRC.

El gusano se mantiene siempre en ejecución en segundo plano, proveyendo un servidor de puerta trasera que permite a un atacante remoto obtener acceso y controlar el equipo infectado a través de canales de IRC.

El 10 de noviembre de 2005, dos nuevas versiones fueron detectadas por la heurística avanzada de NOD32 como variantes de Win32/IRCBot.PH, sin necesidad de actualización de la base de firmas.

Esta descripción se refiere a estas últimas versiones, ya que aunque básicamente son similares a la primera, detectada desde el 31 de octubre de 2005, tienen como característica, que el autor les agregó la herramienta usada por Sony para la protección de derechos de autor, criticada por actuar como un rootkit (ver "Tecnología anticopia de Sony compromete la seguridad", http://www.vsantivirus.com/vul-xcp-sony.htm)

Los rootkits son herramientas que permiten ocultar actividades desarrolladas sin el conocimiento del usuario en su propio sistema. Generalmente son implantados de forma no autorizada, proporcionándole a un atacante vías de acceso ocultas. El nombre rootkit se origina a partir de la idea de que quien lo utiliza puede acceder fácilmente al nivel de root, o de administrador del sistema.

En el caso del software usado por Sony, este rootkit oculta todas las carpetas, archivos o recursos, cuyos nombres comiencen con la cadena "$SYS$".

El troyano fue enviado en forma de spam, en mensajes como los siguientes:

De: [uno de los siguientes]
TotalBusiness
BusinessTotal
Asunto: [uno de los siguientes]
Requesting Photo Approval
Photo Approval Required
Datos adjuntos: [uno de los siguientes]
Article Photo.exe
article_december_3621.exe
Photo+Article.exe
Texto del mensaje:
Hello,

Your photograph was forwarded to us as part of an article
we are publishing for our December edition of Total
Business Monthly.
Can you check over the format and get back to us with
your approval or any changes? If the picture is not to
your liking then please send a preferred one. We have
attached the photo with the article here.

Kind regards,
Jamie Andrews
Editor
www.TotalBusiness.co.uk
**********************************************
The Professional Development Institute
**********************************************
Cuando se ejecuta, crea los siguientes archivos:
c:\windows\system32\$sys$drv.exe
c:\windows\system32\$sys$xp.exe
c:\windows\temp\130.bat
c:\windows\temp\181.bat

Crea las siguientes entradas en el registro:
HKCU\Software\WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj
$sys$drv = "$sys$drv.exe"

HKLM\Software\WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj
$sys$drv = "$sys$drv.exe"
La cadena "WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj" corresponde a lo siguiente:
Software\Microsoft\Windows\CurrentVersion\Run
Sin embargo, esta técnica de codificación falla, y el troyano no puede funcionar correctamente al reiniciarse.

NOTA: Una variante modificada, distribuida pocas horas después, también en forma de spam, corrige esto, y crea las siguientes entradas:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
$sys$cmp = "$sys$xp.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
$sys$cmp = "$sys$xp.exe"
El troyano ejecuta el comando NETSH de Windows, para intentar eludir el firewall integrado de Windows XP (el parámetro "firewall" solo funciona en SP2):
netsh firewall set allowedprogram [nombre troyano] enable
El troyano intenta conectarse a los siguientes servidores de IRC:
68.101.14.76
24.210.44.45
67.171.67.190
35.10.203.93
152.7.24.186
Abre el puerto TCP 8080 y se une a un canal llamado #sony (o #cell en la versión corregida), desde donde recibirá los comandos para realizar acciones como las siguientes:
- Actualizarse a si mismo
- Borrar archivos
- Borrar el propio gusano del equipo infectado
- Comunicarse a un servidor remoto vía HTTP
- Copiarse en carpetas compartidas de otras máquinas
- Descargar y ejecutar archivos desde el servidor IRC
- Descargar, instalar y ejecutar otros programas
- Distribuirse por canales de IRC
- Enviar mensajes de notificación a determinadas direcciones
- Escanear puertos
- Finalizar procesos
- Inyectar su código en el proceso del EXPLORER.EXE
- Listar procesos
- Unirse a un canal de IRC específico
Para no ejecutarse más de una vez en memoria, crea uno de los siguientes mutex:
$sys$drv.exe
$sys$xp.exe
NOTA: Debido al rootkit usado, todos los nombres indicados en la descripción que comiencen con la cadena $SYS$, no podrán ser visualizados de ningún modo, mientras el troyano esté ejecutándose en memoria.

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada, y de la variante del troyano.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj
3. Borre la carpeta "WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj"
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj
7. Borre la carpeta "WkbpsevaXImgvkwkbpXSmj`kswXGqvvajpRavwmkjXVqj"
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
\Parameters
\FirewallPolicy
\StandardProfile
\AuthorizedApplications
\List
11. Haga clic en la carpeta "List" y en el panel de la derecha, busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\ControlSet001
\Services
\SharedAccess
\Parameters
\FirewallPolicy
\StandardProfile
\AuthorizedApplications
\List
13. Haga clic en la carpeta "List" y en el panel de la derecha, busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
14. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
15. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Información adicional
Cambio de contraseñas, En el caso de haber sido infectado con este troyano, cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema
Más información: http://www.vsantivirus.com/ircbot-ph.htm