Virus Dumaru

Efectos:

Dumaru instala en el ordenador afectado un troyano de tipo backdoor, que se conecta a un canal determinado de un servidor de IRC y permanece a la espera de órdenes.

Metodo de infección:

Dumaru crea los siguientes ficheros:

• DLLREG.EXE, en el directorio de Windows. Es una copia del gusano.
• LOAD32.EXE, VXDMGR32.EXE, en el directorio de sistema de Windows. Son copias del gusano.
• WINDRV.EXE, en el directorio de Windows. Es una copia del troyano de tipo backdoor.
• WINLOAD.LOG, en el directorio de Windows. Este fichero contiene la lista de las direcciones de correo a las que se enviará.

En ordenadores con Windows Me/98/95, Dumaru modifica los siguientes ficheros:

• WIN.INI. Introduce la siguiente línea:
  [windows]
  run = %windir%\dllreg.exe
• SYSTEM.INI. Introduce la siguiente línea:
  [boot]
  shell = explorer.exe %systemdir%\vxdmgr32.exe
  Realizando estas modificaciones, consigue ejecutarse cada vez que se inicie Windows.

Dumaru crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  load32 = %windir%\load32.exe
  De esta forma, consigue ejecutarse cada vez que se inicie Windows.

Metodo de propagación:

Dumaru se propaga a través del correo electrónico, en un mensaje escrito en inglés con las siguientes características:

• Remitente:
  "Microsoft" <security@microsoft.com>

• Asunto:
  Use this patch immediately !
• Contenido:
  Dear friend , use this Internet Explorer patch now!
  There are dangerous virus in the Internet now!
  More than 500.000 already infected!
• Fichero adjunto:
  PATCH.EXE

Una vez el fichero adjunto es ejecutado, el ordenador queda infectado.

Dumaru se envía por correo electrónico a todas las direcciones que encuentre en ficheros con extensiones WAB, DBX, TBB, ABD o que comiencen por HTM. Para ello, emplea su propio motor SMTP.

Otros detalles:

Para que conozca un poco mejor a Dumaru, a continuación le presentamos alguna característica adicional:

• Ha sido escrito en el lenguaje de programación  Visual C++, en su versión 6.0.
• El fichero que transporta el gusano tiene un tamaño de 9216 Bytes cuando se encuentra comprimido mediante UPX, que pasa a ser de 9432 Bytes cuando es descomprimido.