Backterra.A
PeligrosidadDañoPropagación

Efectos 

Backterra.A no produce efectos destructivos en el ordenador afectado. Su único objetivo es infectar a otros ordenadores y mostrar mensajes por pantalla.

Metodo de Infección 

Backterra.A crea los siguientes ficheros, que son una copia del gusano:

• DONKEYBACTERIA.EXE, en el directorio de Windows.
• KEYMAKER.TM_, en el directorio donde es ejecutado.

Backterra.A modifica el siguiente fichero:

• SHAREDDIR.DAT. Incluye en este fichero el directorio donde crea múltiples copias de sí mismo, de modo que pueda propagarse a través del programa de intercambio de ficheros (P2P) eMule.

Backterra.A crea las siguientes entradas en el Registro de Windows:

• HKEY_CURRENT_USER\ Software\ VB and VBA Program Settings\ DonkeyBacteria\ Infected
  “Infected”  True 
• HKEY_CURRENT_USER\ Software\ VB and VBA Program Settings\ DonkeyBacteria\ Infected
  “EvolutionState”
• HKEY_CURRENT_USER\ Software\ VB and VBA Program Settings\ DonkeyBacteria\ Infected
  “DonkeyBacteria” I want you no harm. I Just whant to live. I will not damage your PC.
  Con ello, sabe si ha infectado el sistema.

Método de Propagación 

Backterra.A se propaga a través del programa de intercambio de ficheros (P2P) eMule.

Backterra.A realiza el siguiente proceso:

• Crea el siguiente directorio:
  C:\ WINDOWS\ TEMP\ INSTALL\ WIN32\ SYSTEM\ BACKUP\ DONKEYBACTERIA\
• Se copia a sí mismo en dicho directorio con alguno de los 300 nombres de ficheros que tienen el siguiente formato:
  Nombre Keygen + CRACK.EXE
  
  Ejemplos:
  NetScanTools ALL VERSIONS KeyGen + Crack.exe
  No1 DVD Ripper ALL VERSIONS KeyGen + Crack.exe
  A2 Racer 2 KeyGen + Crack.exe
  X-Win32 ALL VERSIONS KeyGen + Crack.exe
  Airport Tycoon 2 KeyGen + Crack.exe
  Akuma KeyGen + Crack.exe
• Después, modifica el fichero SHAREDDIR.DAT para incluir en el mismo el directorio que crea, y así compartirlo.
• Otros usuarios de eMule podrán acceder al directorio compartido. Así, se descargarán voluntariamente en su ordenador alguno de los ficheros creados por Backterra.A , pensando que se trata de aplicaciones informáticas de interés. En realidad, se estarán descargando en sus ordenadores una copia del gusano.
• Al ejecutar el fichero descargado, esos otros ordenadores quedarán afectados por Backterra.A.

Otros Detalles  

Backterra.A está escrito en el lenguaje de programación Visual Basic 6.0. El fichero que realiza la infección tiene un tamaño de 81920 Bytes.