| |
VSantivirus No 2388 Año 11, martes 6 de marzo de 2007
Wanuk.A. Utiliza una vulnerabilidad en Sun Solaris
http://www.vsantivirus.com/wanuk-a.htm
Nombre: Wanuk.A
Nombre NOD32: SunOS/Wanuk.A
Tipo: Gusano y caballo de Troya
Alias: Wanuk.A, Linux.Wormagnu.A, Solaris.Wanuk.Worm, Solaris/Wanuk.A, SunOS/Wanuk.A, SunOS/Wanuk.worm, Unix/Froot.A!worm, Unix/Froot-A, Win32.Froot.a, Worm.SunOS.Wanuk.A, Worm/Wanuk.A, Worm:Solaris/Wanuk.A
Fecha: 5/mar/07
Plataforma: SunOS
Tamaño: 27,876 bytes
Gusano y caballo de Troya que se aprovecha de una vulnerabilidad en la autenticación remota vía telnet de la plataforma Sun Solaris (Sun Solaris TelNet Remote Authentication Bypass vulnerability).
Utiliza el siguiente nombre de usuario:
lp
Cuando se ejecuta, crea los siguientes archivos:
/var/adm/sa/.adm/.i86pc
/var/adm/sa/.adm/.sun4
/var/adm/sa/.adm/.lp-door.i86pc
/var/adm/sa/.adm/.lp-door.sun4
Comprueba el tipo de procesador instalado (Intel o Sparc) para ejecutar el componente adecuado.
Los siguientes archivos también pueden ser creados:
/var/adm/sa/.adm/acctadm
/var/adm/sa/.adm/bootadm
/var/adm/sa/.adm/cfgadm
/var/adm/sa/.adm/consadmd
/var/adm/sa/.adm/cryptoadm
/var/adm/sa/.adm/devfsadmd
/var/adm/sa/.adm/dladm
/var/adm/sa/.adm/inetadm
/var/adm/sa/.adm/kadmind
/var/adm/sa/.adm/logadm
/var/adm/sa/.adm/metadevadm
/var/adm/sa/.adm/nlsadmin
/var/adm/sa/.adm/routeadm
/var/adm/sa/.adm/sacadm
/var/adm/sa/.adm/sadm
/var/adm/sa/.adm/svcadm
/var/adm/sa/.adm/sysadm
/var/adm/sa/.adm/syseventadmd
/var/adm/sa/.adm/ttyadmd
/var/adm/sa/.adm/uadmin
/var/adm/sa/.adm/zoneadmd
/var/spool/lp/admins/.lp/.lp-door.i86pc
/var/spool/lp/admins/.lp/.lp-door.sun4
/var/spool/lp/admins/.lp/lpadmin
/var/spool/lp/admins/.lp/lpc
/var/spool/lp/admins/.lp/lpd
/var/spool/lp/admins/.lp/lpfilter
/var/spool/lp/admins/.lp/lpmove
/var/spool/lp/admins/.lp/lpsched
/var/spool/lp/admins/.lp/lpshut
/var/spool/lp/admins/.lp/lpstat
/var/spool/lp/admins/.lp/lpsystem
/var/spool/lp/admins/.lp/lpusers
Crea una tarea con el comando CRON, para ejecutarse a determinada hora.
Cada día 13 de cualquier mes, el malware intenta mostrar determinados mensajes.
También ejecuta los comandos IPCONFIG y NETSTAT para examinar y obtener un listado de direcciones IP accesibles.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
