Enciclopedia de Virus
Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
Efectos
WinVNC.A realiza las siguientes acciones:
- Llega al ordenador en un archivo que tiene el icono correspondiente a un documento de PowerPoint con el objetivo de hacerse pasar por un archivo inofensivo:
- Cuando es ejecutado, se muestra una presentación con diversas diapositivas sobre la gripe A. La siguiente imagen corresponde a una de las diapositivas:
- Si quiere saber cómo WinVNC.A infecta a los usuarios y cuál es el contenido de la presentación que muestra, pulse aquí.
- Obtiene información del ordenador afectado, como nombre del equipo.
- Además, utiliza un programa legal denominado UltraVNC, que permite conectarse a un ordenador remotamente, con fines maliciosos.
- Realiza conexiones con la página www.hd<bloqueado>f.info para informar al creador del maware sobre el estado de los ordenadores afectados.
Metodo de Infección
WinVNC.A crea los siguientes archivos en el directorio de Windows:
- AUDIOSOUND.EXE. Este archivo realmente es WINVNC.EXE, un archivo perteneciente a UltraVNC, que se trata de un programa legal utilizado para controlar un ordenador remotamente y que este backdoor utiliza con dicho fin.
- AUDIOSYSTEM.EXE, que es una copia del backdoor.
- ROKK.DLL. En este archivo guarda la información sobre el equipo afectado.
WinVNC.A crea la siguiente entrada en el Registro de Windows:
- HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Windows Audio Service = %windir%\audiosystem.exe
donde %windir% es el directorio de Windows.
Mediante esta entrada, WinVNC.A consigue ejecutarse cada vez que Windows se inicia.
Método de Propagación
WinVNC.A no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación. El archivo malicioso puede haber sido distribuído a través de correo electrónico como adjunto en mensajes que han sido enviados masivamente.
Otros Detalles
WinVNC.A está escrito en el lenguaje de programación Visual Basic 6.0. Este backdoor tiene un tamaño de 2539520 Bytes.