En el presente informe vamos a ocuparnos de tres gusanos -Santy.A, que a principios de esta semana comenzó a distribuirse rápidamente, Mugly.C y Gaobot.CDO-, del virus Constructor/Mastof, y de un troyano llamado Mastof.A.
Santy.A es un gusano que se propaga a través de Internet aprovechándose para ello de la vulnerabilidad viewtopic.php. En la práctica, afecta a los servidores que tienen instalada una versión del programa phpBB anterior a la 2.0.11 y no hayan sido convenientemente actualizados.
Tras afectar a un equipo, Santy.A lleva a cabo, entre otras, las siguientes acciones:
- Utiliza una búsqueda en Google para localizar ordenadores vulnerables.
- Sobrescribe todos los archivos con extensiones ASP, HTM, PHP, PHTM y SHTM, y los reemplaza por un código HTML que muestra un mensaje.
- Ralentiza el servidor afectado y el acceso a Internet.
El segundo gusano al que nos referimos hoy es Mugly.C, que se propaga a través del correo electrónico en un mensaje con características variables, que incluye un archivo adjunto llamado ATTACHED.ZIP. A su vez, este fichero contiene un archivo ejecutable que es el propio gusano, y que será enviado en un e-mail.
En el equipo al que afecta, Mugly.C busca -en archivos cuya extensión sea ADB, ASP, DBX, DOC, HTM, HTML, PHP, SHT, TBB, TXT o WAB-, direcciones de correo electrónico a las que se envía, excepto a aquellas con cadenas de texto relativas a compañías antivirus. Además, este gusano evita que el usuario pueda acceder a las páginas web de determinadas empresas antivirus.
Tras ser ejecutado, Mugly.C muestra en pantalla una imagen, e instala y ejecuta otro gusano, que Panda Software detecta como Gaobot.CDO.worm.
Gaobot.CDO, por su parte, afecta a ordenadores con sistemas operativos Windows 2003/XP/2000/NT, aprovechándose para ello de las vulnerabilidades LSASS, RPC DCOM y WebDAV. Para difundirse, este gusano realiza copias de sí mismo en recursos compartidos de red a los que logra acceder. A su vez, Gaobot.CDO se conecta a un servidor IRC determinado y espera órdenes de control.
Los siguientes códigos del presente informe son Constructor/Mastof y Mastof.A. Se trata de dos ejemplares íntimamente ligados, ya que el segundo es un troyano que ha sido creado por el primero para que robe la contraseña de Yahoo Messenger.
Entre las características que tiene Mastof.A, y que también presentarán los troyanos que se generen con Constructor/Mastof, destacan las siguientes: se ejecutan cada vez que se reinicia el PC, quedan residentes en el PC en el que afectan y envían la contraseña que obtienen a una dirección específica de Yahoo.
Artículo original en Panda Antivirus
