Virus Funlove.4099

Efectos:

Funlove.4099 se ejecuta como:

• Un servicio más del sistema (llamado FLC), en ordenadores con Windows NT.
• Un proceso, en ordenadores con Windows 95 o Windows 98.

Sus efectos son los siguientes:

• Ataca ordenadores con Windows NT, Windows 98 y Windows 95.
• Permite que los usuarios realicen cualquier operación en el ordenador infectado, otorgándoles derechos de administrador.
  Esto ocurre cuando la infección se produce en un ordenador con Windows NT 4.0 que tiene abierta una sesión de administrador. En tal caso, Funlove.4099 modifica determinados ficheros del sistema para que en el próximo reinicio cualquier usuario sea considerado como administrador.

• Los ficheros que infecta tienen extensión EXE, OCX, o SCR. En todos los casos, se trata de ficheros de tipo Win32bit PE.
• Infecta ficheros en todas las unidades de disco del ordenador atacado y en aquellas compartidas en red donde éste tiene acceso de escritura (desde la C:, hasta la Z:).

Metodo de infección:

Funlove.4099 crea el fichero FLCSS.EXE, en el directorio de sistema de Windows (por defecto, C:\ WINDOWS\ SYSTEM o C:\ WINNT\ SYSTEM32). La función de FLCSS.EXE es buscar e infectar todos los ficheros con extensión EXE, SCR y OCX. Busca estos ficheros en todas las unidades de disco (desde la C:, hasta la Z:).

Funlove.4099 modifica los ficheros NTOSKRNL.EXE y NTLDR, cuando se ejecuta en Windows NT 4.0 y el usuario tiene derechos de administrador.

• La modificación del fichero NTOSKRNL.EXE permite otorgar acceso total al sistema. Para lograrlo, Funlove.4099 modifica dos Bytes en la función API SeAccessCheck.
• La modificación del fichero NTLDR evita que se descubran los cambios en el fichero NTOSKRNL.EXE. Esto lo consigue modificando un Byte del mismo.

Funlove.4099 también realiza las modificaciones anteriores en unidades de disco de los ordenadores con Windows NT pertenecientes o mapeados en una red.

Metodo de propagación:

Funlove.4099 se propaga principalmente a través de redes de ordenadores.

Para lograr sus infecciones, Funlove.4099 infecta ficheros en todas las unidades de disco del ordenador afectado.

Funlove.4099 también infecta ficheros en todas las unidades compartidas en la red a la que está conectado, siempre que éstas tengan acceso de escritura.