Virus Opaserv.J

Efectos:

Opaserv.J produce los siguientes efectos:

• Se propaga a través de unidades de red compartidas (unidades de disco que se comparten en la red a la que el ordenador afectado está conectado).
• Intenta conectarse a una página Web con el fin de descargar actualizaciones de sus componentes.

Metodo de infección:

Para realizar su infección, Opaserv.J crea los siguientes ficheros:

• INSTIT.BAT, en el directorio de Windows. Es una copia del gusano que contiene el código de infección.
• GUSTAV.SAV e INSTITU.VAT, creados en el directorio raíz de la unidad C:, para intercambiar información con la Web a la que se conecta. 

• INSTITU, es una copia del fichero WIN.INI que obtiene de los equipos remotos a los que el gusano ataca de la siguiente forma: 

El gusano realiza consultas WINS (a través del protocolo NetBIOS) a diferentes direcciones IP contiguas, en busca de unidades compartidas.

Una vez obtenido el nombre NetBIOS de la máquina, inicia una sesión remota y trata de acceder a la unidad C: de la máquina remota. Si lo consigue, se conectará a la unidad (independientemente de si se encuentra protegida con contraseña), y se copia con el nombre INSTITU, que inicialmente es una copia del fichero de sistema: WIN.INI, pero que se encuentra modificado al crearse la siguiente entrada:

[windows] 

run = C:\WINDOWS\INSTIT.BAT

Después, el gusano vuelve a cambiar el nombre del fichero INSTITU como WIN.INI en el equipo remoto, asegurando la ejecución del fichero en el próximo arranque o inicio del ordenador atacado.

Finalmente, Opaserv.J intenta conectarse a otras unidades de la misma subred del equipo atacado e incluso, trata de hacer lo mismo con unidades IP escogidas al azar.

Opaserv.J crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run "instit" = C:\Windows\instit.bat
  Con esta modificación, Opaserv.J consigue ejecutarse en cada arranque o inicio de Windows.

Metodo de propagación: