Virus Runet.A

Efectos:

Runet.A realiza las siguientes acciones:

• Añade a la carpeta Favoritos varios accesos directos a páginas web de contenido pornográfico:
  http://young-erotic.com
  http://80pictures.com
  http://70pictures.com
  http://searchlolitas.com
  http://90pictures.com/
  http://pictures-and-galleries.com
  http://top-teen-sex.com/
  http://www.list666.com/gay/fast/?id=119
  http://60pictures.com
  http://young-hardcore.net
• Cuando el usuario visita cualquiera de dichos vínculos, se descarga un dialer al ordenador afectado.
• Cambia la página de inicio del navegador Internet Explorer por la siguiente:
  http://webcoolsearch.com

Metodo de infección:

Runet.A crea los siguientes ficheros en el directorio de sistema de Windows:

• MSSYS.EXE, MSSYS.COM o NETRUN.EXE, dependiendo de la versión del troyano. Este fichero se encarga de descargar un fichero desde una página web y ejecutarlo. Tiene un tamaño de entre 2459 y 7578 Bytes, y está empaquetado con NetRun v3.10.
• MSCONF.DLL, MSCONFD.DLL o SVCHOST.EXE, dependiendo de la versión del troyano. Este fichero se encarga de añadir accesos directos a páginas web de contenido pornográfico a la carpeta Favoritos. Al ser visitadas, se descargan programas de tipo dialer en el ordenador afectado. Tiene un tamaño de 4096 Bytes, y está empaquetado con UPX.

Runet.A crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices
  Desktop = rundll32.exe msconfd, Restore ControlPanel
  Con ello, Runet.A consigue ejecutarse cada vez que se inicie Windows.

Metodo de propagación:

Si el usuario visita determinadas páginas web de contenido pornográfico que contienen código para descargar el troyano, y el nivel de seguridad del navegador Internet Explorer no está configurado como Alto, Runet.A es descargado automáticamente.

Otros detalles:

Runet.A está escrito en lenguaje Ensamblador. El troyano tiene un tamaño de 6656 Bytes.

El nombre del directorio donde se creó el programa es DailyPayDialer.