NUEVA VARIANTE DE BACKDOOR AXJ ALIAS BERBEW NO CONTROLADA

Mensaje por **msc hotline sat** » 23 Dic 2004, 11:39

Un nuevo gusano ha aparecido entre nuestros asociados, sin ser detectado por los antivirus, si bien por las caracteristicas y sintomas lo hemos enviado a McAfee indicandonos ser una variante desconocida del Backdoor AXJ que se esconde significativamente, no pudiendose ver desde windows, ocultando al mismo tiempo la carpeta de sistema, entre otras cosas aparte de robar contraseñas (keylogger) y de abrir puerta trasera (backdoor) que permite al atacante controlar remotamente la máquina.

Es de especial mencion el sistema de ocultamiento que utiliza a través de la ejecucion de determinadas claves de registro en las que llama a clases que otorgan privilegios especiales a carpetas y ficheros.

McAfee nos ha enviado un EXTRA.DAT con el que detectarlo, controlarlo y eliminarlo, que ofrecemos a continuacion para quienes usen McAfee y quieran aplicarlo:

______________________________________

251 178 136 180 77 179 192 130 141 49 205 179 158 52 141 243

141 115 141 254 87 232 140 191 214 50 128 104 12 47 86 178

45 232 140 149 214 50 161 143 168 58 130 188 2 60 130 188

190 195 161 22 5 60 130 188 2 60 130 70 192 150 137 188

2 60 66 22 8 60 130 64 35 163 40 182 249 192 127 233

189 150 143 66 204 150 136 67 35 122 169 210 168 54 125 157

68 23 196 22 9 195 163 250 43 150 137 67 33 115 123 22

9 195 161 243 43 150 143 114 9 150 140 126 168 50 66 22

15 23 196 22 9 29 196 124 87 150 143 175 21 150 133 254

2 60 40 22 155 86 104 22 10 126 130 188 2 60 66 22

168 49 193 225 168 52 137 188 2 60 130 215 72 150 143 233

189 71 114 183 156 49 140 178 235 49 117 76 196 54 64 20

168 150 168 199 137 49 136 179 168 50 64 66 15 43 141 48

15 53 141 85 15 204 162 122 8 254 42 22 168 22 249 55

15 54 141 22 12 254 249 104 12 27 14 177 12 51 240 104

12 63 128 49 8 51 114 76 12 51 153 180

22237 256 12836 340 M1

63 178 136 180 77 179 192 129 141 49 205 179 158 52 141 243

141 115 141 254 87 232 140 147 142 49 177 179 39 176 143 164

13 204 142 80 12 19 249 48 15 82 141 22 9 150 40 22

168 64 246 104 12 38 128 49 8 51 114 76 12 51 153 180

4732 256 12836 340 M2

303 178 130 178 77 51 207 210 110 88 201 220 98 65 160 242

85 121 30 180 10 115 141 179 13 87 44 143 235 49 114 179

196 35 64 188 2 60 130 126 2 60 130 188 192 60 130 188

2 126 249 76 12 71 14 177 33 51 44 178 64 50 44 181

253 31 205 71 255 126 14 177 81 51 44 178 64 50 14 177

6 51 114 176 230 50 151 48 15 63 141 76 8 193 142 186

13 126 202 76 7 193 133 156 13 126 130 188 2 60 66 199

12 183 143 147 13 204 151 118 21 19 141 157 237 106 163 18

174 167 44 24 43 87 44 157 237 110 171 254 172 175 233 100

66 176 143 198 13 204 154 118 24 19 141 157 172 140 25 18

162 21 233 18 35 211 212 149 64 146 17 215 218 123 114 164

200 38 178 179 35 146 54 39 172 168 171 209 172 29 109 234

43 126 44 47 111 228 197 48 15 0 141 76 23 246 149 140

13 29 109 188 35 146 46 39 172 152 171 215 172 29 109 188

43 126 44 47 105 228 194 76 21 246 155 140 13 125 58 157

237 106 161 204 169 84 163 91 80 29 44 30 153 148 171 213

172 204 151 118 21 12 141 157 237 102 165 82 176 134 163 67

84 29 44 20 171 211 204 159 237 98 239 83 72 62 15 182

13 51 141 178 13 39 114 178 96 125 64 177 10 51 195 180

28432 256 12836 340 BackDoor-AXJ

665 178 154 178 13 179 207 210 110 88 201 220 98 65 160 242

85 121 163 215 97 95 163 212 104 93 13 177 77 51 30 180

10 51 13 243 13 102 4 79 9 103 157 179 13 13 87 178

24 176 143 167 13 146 133 23 168 150 40 23 168 150 40 55

15 59 141 200 204 57 128 179 204 250 68 56 204 250 68 22

168 57 95 116 205 238 77 117 134 242 68 122 121 183 143 191

13 72 246 114 10 52 141 67 33 115 169 250 121 204 157 65

3 204 140 126 2 60 130 188 194 150 64 23 168 137 40 76

28 193 130 76 12 254 238 38 168 134 165 147 169 105 215 233

248 126 249 76 12 71 14 177 12 51 240 55 15 46 141 114

4 44 141 124 195 250 69 120 199 150 128 49 8 51 141 179

12 51 153 76 12 94 195 76 243 147 113 97 12 51 140 97

12 51 141 255 14 51 223 179 12 51 141 245 13 96 194 245

89 100 204 225 72 111 192 218 110 65 226 192 98 85 249 239

90 90 227 215 98 68 254 239 78 70 255 193 104 93 249 229

104 65 254 218 98 93 209 224 101 86 225 223 94 86 255 197

100 80 232 252 111 89 232 208 121 119 232 223 108 74 193 220

108 87 141 182 13 29 233 223 97 51 201 179 13 51 141 240

135 51 230 178 114 50 141 178 40 178 242 176 13 50 168 50

114 49 141 178 40 178 242 183 13 50 168 50 114 49 141 50

114 50 141 50 114 51 141 50 114 48 141 178 40 178 242 179

13 50 168 50 114 54 141 178 40 178 242 177 13 50 168 50

114 49 141 178 42 178 242 178 13 50 168 50 114 51 141 50

114 50 141 50 114 50 141 178 40 178 242 178 13 50 168 50

114 50 141 178 40 178 242 178 13 50 168 50 114 50 141 178

40 178 242 177 13 50 168 50 114 50 141 178 40 178 242 178

13 50 168 50 114 51 141 178 40 178 242 179 13 178 13 179

141 50 140 165 13 50 155 76 215 147 85 215 5 51 141 179

13 16 225 178 48 91 140 160 48 91 140 133 4 54 235 176

110 89 140 175 39 51 255 141 101 57 141 178 44 4 143 141

101 23 134 178 127 13 229 145 0 50 176 223 12 60 179 219

48 95 140 129 58 49 141 183 41 58 137 142 125 50 157 142

125 50 190 178 107 126 133 179 13 51 141 177 17 5 141 193

12 14 245 178 2 59 141 179 13 51 179 219 14 47 169 179

48 79 140 188 48 79 140 129 48 71 140 188 7 187 158 172

65 51 176 199 12 1 140 214 23 14 245 178 63 14 241 178

2 14 241 178 63 49 178 142 117 50 130 142 113 50 191 182

8 94 79 141 9 47 221 179 48 71 140 188 48 71 140 129

27 87 140 165 13 66 168 182 61 24 141 230 51 55 205 175

91 51 255 184 15 51 141 51 58 50 141 132 13 51 136 131

38 51 216 141 9 115 145 161 13 65 248 179 38 51 166 215

96 230 12 204 192 49 138 179 67 52

45825 256 12836 340 BackDoor-AXJ.dll.gen

______________________________________

Como siempre, para generar el EXTRA.DAT se debe seleccionar el script entre lineas, copiarlo con ALT-C y abriendo el bloc de notas, pegarlo con ALT-V y guardarlo como EXTRA.DAT, el cual copiar en la carpeta del antivirus donde hay los demás ficheros DAT (SCAN;DAT, CLEAN.DAT, NAMES,DAT, etc)

Y con ello, tras reiniciar ya se controlará el indicado virus.

saludos

ms, 23-12-2004