|
Efectos:
Mitglieder.GO intenta descargar un archivo desde una de las siguientes páginas web aleatoriamente cada cuatro horas, a través de un script llamado A.PHP: http://202.4<bloqueado>.38
http://209.1<bloqueado>8.203
http://65.1<bloqueado>95.73
http://80.14<bloqueado>3.41
http://abte<bloqueado>fety.com
http://ace<bloqueado>rum.pl
http://ada<bloqueado>nue.net
http://adop<bloqueado>nada.ca
http://adv<bloqueado>cgroup.com
http://agenci<bloqueado>dinternet.com
http://aha<bloqueado>afe24.com
http://aib<bloqueado>ea.org
http://aik<bloqueado>an.com
http://al<bloqueado>bg.net
http://ale<bloqueado>rligi.ch
http://alfa<bloqueado>ssic.sk
http://all<bloqueado>oni.it
http://alli<bloqueado>.com.au
http://amer<bloqueado>ergyco.com
http://ame<bloqueado>meryka.com
http://am<bloqueado>ra.com
http://anali<bloqueado>sultoria.com
http://cal<bloqueado>rco.com
http://cco <bloqueado>omadrid.org
http://drin<bloqueado>ter.ru
http://ele<bloqueado>ltek.com
http://furd<bloqueado>oba.info
http://ke<bloqueado>er.kz
http://mij<bloqueado>gdo.net
http://saca<bloqueado>dark.net
http://tk<bloqueado>mi.net
http://vir<bloqueado>3.kei.pl
http://www.15<bloqueado>m.com
http://www.ad<bloqueado>nt-np.ru
http://www.agro<bloqueado>styka.artneo.pl
http://www.ame<bloqueado>rising.com
http://www.bak<bloqueado>it.hu
http://www.bart<bloqueado>erwery.pl
http://www.batl<bloqueado>ound.com
http://www.bbrea<bloqueado>rvis.sk
http://www.be<bloqueado>g.ru
http://www.beni<bloqueado>nfo.com
http://www.benn<bloqueado>ife.com
http://www.bestcheap<bloqueado>gistration.info
http://www.bid<bloqueado>rbaby.com
http://www.binh<bloqueado>golf.com
http://www.bio<bloqueado>nk.com
http://www.bits<bloqueado>tion.ro
http://www.bm<bloqueado>depot.com
http://www.boldr<bloqueado>sell.com
http://www.bron<bloqueado>-m.ru
http://www.bulkema<bloqueado>ectmarketing.com
http://www.bulkema<bloqueado>rvicenow.com
http://www.cal<bloqueado>ad.biz
http://www.can<bloqueado>ew.ca
http://www.cans<bloqueado>dubai.ae
http://www.casa<bloqueado>canta.com
http://www.casin<bloqueado>libu.ru
http://www.col<bloqueado>18.com
http://www.conn<bloqueado>tesl.com
http://www.chilo<bloqueado>omarino.cl
http://www.china<bloqueado>uredpearl.com
http://www.enca<bloqueado>belec.com
http://www.khon<bloqueado>npoc.com
http://www.le<bloqueado>.co.il
http://www.nm<bloqueado>td.com
http://www.nuc<bloqueado>ear.com.pl
http://www.tim <bloqueado>trol.com.pl
http://www.u<bloqueado>u.pl
http://www.vne<bloqueado>ools.com Una vez descargado, lo guarda con un nombre consistente en un número aleatorio, en la subcarpeta EXEFLD del directorio de Windows, y posteriormente lo ejecuta. Metodo de infección:
Mitglieder.GO crea el archivo ANTI_TROJ.EXE en el directorio de sistema de Windows. Este archivo es una copia del troyano. Mitglieder.GO crea las siguientes entradas en el Registro de Windows: - HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
anti_troj = %sysdir%\ anti_troj.exe - HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
anti_troj = %sysdir%\ anti_troj.exe
donde %sysdir% es el directorio de sistema de Windows.
Mediante estas entradas, Mitglieder.GO consigue ejecutarse cada vez que Windows se inicia. - HKEY_CURRENT_USER\ Software\ FirstRRRun
Mitglieder.GO crea esta entrada como marca de infección, para saber si ha afectado previamente el ordenador.
Metodo de propagación:
Mitglieder.GO llega al ordenador enviado a través del correo electrónico por el gusano detectado como Bagle.FX en un mensaje con las siguientes características: - Asunto: puede ser uno de los siguientes:
Happy New Year
New 2006
New Year's
New Year's Day.
We congratulate happy New Year - Contenido: puede ser uno de los siguientes:
Password
The password is: - Archivo adjunto: Un archivo con extensión ZIP, y con uno de los siguientes nombres:
ALES, ALICE, ALYCE, ANDREW, ANDROW, ANDROWE, ANN, ANNA, ANNE, ANNES, ANTHONIE, ANTHONY, ANTHONYE, AVICE, AVIS, BENNET, BENNETT, CHRISTEAN, CHRISTIAN, CONSTANCE, CYBIL, DANIEL, DANYELL , DORITHIE,DOROTHEE, DOROTHY, EDMOND, EDMONDE, EDMUND, EDWARD, EDWARDE, ELIZABETH, ELIZABETHE, ELLEN,ELLYN, EMANUAL, EMANUEL, EMANUELL, ESTER, FRANCES, FRANCIS, FRAUNCES, GABRIELL, GEOFFRAIE, GEORGE, GRACE, HARRY, HARRYE, HENRIE, HENRY, HENRYE, HUGHE, HUMPHREY, HUMPHRIE, ISABEL, ISABELL, JAMES, JANE, JEAMES, JEFFREY, JEFFRYE, JOANE, JOHEN, JOHN, JOSIAS, JUDETH, JUDITH, JUDITHE, KATHERINE, KATHERYNE, LEONARD, LEONARDE, MARGARET, MARGARETT, MARGERIE, MARGERYE, MARGRET, MARGRETT, MARIE, MARTHA, MARY, MARYE, MICHAEL, MYCHAELL, NATHANIEL, NATHANIELL, NATHANYELL, NICHOLAS, NICHOLAUS, NYCHOLAS, PETER, RALPH, REBECKA, RICHARD, RICHARDE, ROBERT, ROBERTE, ROGER, ROSE, RYCHARDE, SAMUELL, SARA, SIDNEY, STEPHEN, SUSAN, SUSANNA, SUZANNA, SYBELL, SYBYLL, SYNDONY, THOMAS, VALENTYNE, WILLIAM, WINIFRED, WYNEFREDE, WYNEFREED, WYNNEFREEDE.
Otros detalles:
Mitglieder.GO está escrito en el lenguaje de programación Visual C++ v6. Este troyano tiene un tamaño de 9649 Bytes cuando está comprimido, y de aproximadamente 25 KBytes una vez descomprimido. |
