Ficha Tecnica De Virus

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

MANTENIMIENTO DE EQUIPOS DE CÓMPUTO

Informe:

Teleinformática 2009

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Sistema de Gestión de la Calidad

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

Control del Documento

Autores

Revisión

Nombre

Cargo

Sergio Martínez Vargas

Alumno

Ing. José Méndez

Instructor

Dependencia Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Pedro Pablo Perez 40092

Firma

Fecha

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Sistema de Gestión de la Calidad

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

Ficha técnica de virus VIRUS: WIN32/PINIT.B Nombre: Win32/Pinit.B Aliases: Trojan-Dropper.Win32.Agent.aaki, W32.Spamuzle.D Tipo: Gusano de Internet Fecha: 19/02/2009 Gravedad: alta Distribución: alta daño: alto Tamaño: 126.976 Bytes Destructivo: No Origen: Desconocido Nombre asignado por: Eset. Información: Gusano que se copia a si mismo en carpetas compartidas de la red local. Características: Cuando se ejecuta crea una copia de si mismo: c:\windows\system32\aston.mt También libera los siguientes archivos en la misma carpeta: nvaux32.dll e.spa adj.j devh.e2 rdxz.e El archivo "c:\windows\system32\user32.dll" es modificado por el virus. Para ejecutarse en cada reinicio del sistema crea la siguiente clave: HKLM\SOFTWARE\Microsoft\Windows NT \CurrentVersion\Windows "%variable%Init_Dlls" = "nvaux32"

Pedro Pablo Perez 40092

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

Intenta copiarse a carpetas compartidas utilizando los siguientes datos. Nombre de usuario: administrador Contraseña: 0 1 11 13 123 133 666 777 1212 1234 1313 12345 123456 12345678 !@# 123abc a1b2c3 abc123 adm admin administrator alex andrew apple asa avalon baseball bear buster calvin canada carmen changeme computer diamond donald dragon Pedro Pablo Perez 40092

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información MANTENIMIENTO DE EQUIPOS DE COMPUTO

fuckme fuckyou harley hello hockey internet jordan letmein maggie matthew michael michelle mickey mike miller mindy money mustang ou812 pass password patrick q qaz qazxsw qqq qwerty qwerty ranger secret service shadow snoopy summer test test tiger tigger trustno1 xxx zaq zaqwsx Pedro Pablo Perez 40092

Fecha:

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información MANTENIMIENTO DE EQUIPOS DE COMPUTO

zzz Los nombres utilizados para copiarse pueden ser los siguientes: MarioForever.exe cls.exe Los siguientes archivos son eliminados por el gusano: c:\windows\system32\pla.ax c:\windows\system32\paso.el c:\windows\system32\ntpl.bin c:\windows\system32\aston.mt

VIRUS: WIN32/AGENT.OLJ Nombre: Win32/agent.olj Aliases: Trojan Win62 Genome. Ohc, Win32/agent. Olj Tipo: Troyano Fecha: 19/02/2009 Gravedad general: alta Distribución: alta Daño: alto Tamaño: 909,312 bytes Destructivo: No Origen: Desconocido Nombre asignado por: Eset Información: Troyano que elimina archivos de carpetas especificas.

Pedro Pablo Perez 40092

Fecha:

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

Características: Cuando se ejecuta crea los siguientes archivos: c:\windows\temp\bt[caracteres al azar].bat c:\windows\Command\Command.bat c\users\[nombre de usuario]menú inicio \Programas\inicio\[caracteres al azar].bat c\users\[nombre de usuario]\Documentos \All Users\inicio\Programme\Autostart\Command.bat c:\archivos de programa\bt[caracteres al azar].bat Para ejecutarse en cada inicio el troyano crea la siguiente clave del registro: HKLM\Software\Microsoft\Windows\CurrentVersion\Run Winlogon" = "c:\windows\Command\Command.bat También crea las siguientes claves: HKLM\System\CurrentControlSet\Services\Mouclass "Start" = 4 HKLM\System\CurrentControlSet\Services\Kbdclass "Start" = 4 Los siguientes archivos son eliminados del equipo infectado: c:\*.sys c:\*.bin c:\*.bat c:\windows\system32\bootvid.dll c:\windows\system32\explorer.exe c:\windows\system32\bootvid.dll c:\windows\system32\explorer.exe c:\windows\system32\logon.scr c:\windows\system32\logonui.exe c:\windows\system32\logonui.exe.manifest c:\windows\system32\lsass.exe c:\windows\system32\seclogon.dll c:\windows\system32\taskmgr.exe c:\windows\system32\usrlogon.cmd Pedro Pablo Perez 40092

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

c:\windows\system32\WindowsLogon.manifest c:\windows\system32\winlogon.exe c:\windows\system32\dllcache\logon.scr c:\windows\system32\dllcache\logonui.exe c:\windows\system32\dllcache\winlogon.exe c:\windows\bootstat.dat c:\windows\explorer.exe c:\windows\Cursors\*.* c:\windows\Prefetch\NTOSBOOT-B00DFAAD.pf Los siguientes procesos son ejecutados por el malware: iexplore.exe www.batch-rockz.dl.am net.exe user "-Sph1nX-" "0wn3d" /add" net.exe localgroup Administratoren "-Sph1nX-" /add net.exe user "Sph1nX - %random%" "%random%" /add net.exe localgroup Administratoren "Sph1nX - %random%" /add shutdown.exe -s -t 30 -c "%username% g0t 0wn3d bY -Sph1nX-" Los siguientes servicios son desactivados: AntiVirService cryptsvc Designs Anmeldedienst Los siguientes programas son terminados: avgnt.exe avguard.exe taskmgr.exe explorer.exe lsass.exe

VIRUS: WIN32/WALEDAC

Pedro Pablo Perez 40092

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

Nombre: Win32/Waledac Aliases: Waledac, Trojan: Win32/Waledac.A, Sus/Spy-B, Trojan.W32/Waledac@MM Tipo: Gusano Fecha: 27/12/2008 Gravedad general: media Distribución: alta Daño: alto Tamaño: 898.560 Bytes Destructivo: No Origen: Desconocido Nombre asignado por: ESET INFORMACION Gusano que se propaga como adjunto dentro de correos basura. CARACTERISTICAS Cuando es ejecutado puede crear las siguientes claves del registro: HKLM\SOFTWARE\Microsoft\Windows \CurrentVersion\Run "PromoReg" = "[ruta y nombre del archivo]" También crea las siguientes claves del registro: HKCU\Software\Microsoft\Windows \CurrentVersion\ "RList" = "[DIGITOS EN HEXADECIMAL]" "MyID" = "[DIGITOS EN HEXADECIMAL]" Busca direcciones de correo en el equipo infectado, evita archivos que tengan las siguientes extensiones: *.avi *.mov *.wmv *.mp3 *.wave *.wav *.wma Pedro Pablo Perez 40092

Sistema de Gestión de la Calidad

Regional Distrito Capital Centro de Gestión de Mercados, Logística y Tecnologías de la Información

Fecha:

MANTENIMIENTO DE EQUIPOS DE COMPUTO

*.ogg *.vob *.jpg *.jpeg *.gif *.bmp *.exe *.dll *.ocx *.class *.msi *.zip *.7z *.rar *.jar *.gz *.hxw *.hxh *.hxn *.hxd Los datos obtenidos son enviados a distintas direcciones IP, en un archivo cuyo nombre es aleatorio y su extensión puede ser una de las siguientes: .htm .png El gusano abre una puerta trasera en el equipo infectado, también puede realizar alguna de las siguientes acciones: Terminar procesos Descargar nuevas versiones de sí mismo Enviar spam Descargar malwares

Pedro Pablo Perez 40092