El gusano Imaut.B ataca con renovado vigor

Unos días después del lanzamiento de la primera variante del gusano Imaut, que se propaga a través de mensajería instantánea, apareció una versión más nueva que también usaba algunas técnicas nuevas para infectar computadoras.

El gusano Imaut.B, como su primera variante, es utilizado principalmente por Yahoo! Messenger, AIM, Windows Live Messenger y Windows Messenger intentan infectar tantas computadoras como sea posible. Envía mensajes que también contienen un enlace a un sitio web malicioso. Si el usuario hace clic en dicho enlace, el gusano se descarga inmediatamente en su computadora. Luego, crea una serie de entradas en la base de datos de registro y luego comienza a redirigir las páginas web. El gusano también monitorea constantemente las ventanas de Mi PC y Explorer. Imaut.B finalmente hace que el Administrador de tareas de Windows y el registro sean inaccesibles.

Cuando se inicia el gusano Imaut.B, realiza las siguientes acciones:

1. Cree el siguiente archivo:
% System% \ svchost32.exe

2. Descargue un archivo de Internet y guárdelo en el directorio del sistema de Windows como svhost.exe.

3. La base de datos de registro
HKEY_CURRENT_USER \ Software \ Policies \ Microsoft \ Internet Explorer \ Control Panel
agrega a tu clave
"Página de inicio" = valor "1".

4. La base de datos de registro
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVe rsion \ Policies \ System
agrega a tu clave
"DisableTaskMgr" = "1"
“DisableRegistryTools” = valores “1”.

5. La base de datos de registro
HKEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ Main
agrega a tu clave
“Página de inicio” = “[http: //] tintucso.com/lu […]”.

6. La base de datos de registro
HKEY_CURRENT_USER \ Software \ Yahoo \ pager \ View \ YMSGR_buzz
agrega a tu clave
“URL de contenido” = “[http: //] tintucso.com/lu […]”.

7. La base de datos de registro
HKEY_CURRENT_USER \ Software \ Yahoo \ pager \ View \ YMSGR_Laun chcast
agrega a tu clave
“URL de contenido” = “[http: //] tintucso.com/lu […]”.

8. La base de datos de registro
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentV ersion \ Run
agrega a tu clave
"Administrador de tareas" = "% System% \ svchost32.exe"
“SVCHOST” = “% System% \ svhost.exe” valores.

9. Detiene los siguientes procesos (si se están ejecutando)
Bkav2006.exe
IEProt.exe
svhost32.exe
svchost32.exe
bdss.exe
vsserv.exe

10. Supervisa constantemente las ventanas que tienen uno de los siguientes textos en su barra de título:
Mi PC
Explorador de windows

11. Yahoo! Intenta propagarse a través de Messenger, AIM, Windows Live Messenger y Windows Messenger.

12. Hace que el Administrador de tareas de Windows y el Editor del registro no estén disponibles.