Korgo.P
PeligrosidadDañoPropagación

Efectos 

Korgo.P realiza las siguientes acciones:

• Intenta conectarse a los siguientes sitios web, a los que envía información sobre el país donde se encuentra el ordenador afectado, y de los que intenta descargar archivos:
  adult-empire.com
  asechka.ru
  citi-bank.ru
  color-bank.ru
  crutop.nu
  cvv.ru
  fethard.biz
  filesearch.ru
  kavkaz.tv
  kidos-bank.ru
  konfiskat.org
  master-x.com
  mazafaka.ru
  parex-bank.ru
  roboxchange.com
  www.redline.ru
  xware.cjb.net
• Se coloca residente en memoria. Esto lo consigue copiándose a sí mismo en el espacio de memoria ocupado por el proceso EXPLORER.EXE. De este modo, el usuario no podrá observar ningún proceso sospechoso, ni siquiera en el Administrador de tareas.
• Aunque Korgo.P emplea la vulnerabilidad LSASS para afectar el ordenador, sin embargo no provoca la aparición de un mensaje de error con una cuenta atrás y el posterior reinicio del ordenador, característica habitual de los malware que emplean dicha vulnerabilidad. Korgo.P evita el reinicio en un intento de pasar desapercibido.

Metodo de Infección 

Korgo.P crea un archivo con nombre aleatorio y extensión EXE en el directorio de sistema de Windows. Este archivo es una copia del gusano.

Korgo.P crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  Windows Update = %sysdir%\ %nombre%.exe
  donde %sysdir% es el directorio de sistema de Windows, y %nombre% es el nombre aleatorio del archivo creado por el gusano.
  Mediante esta entrada, Korgo.P consigue ejecutarse cada vez que Windows se inicia.

Korgo.P borra del Registro de Windows las entradas correspondientes a variantes anteriores de sí mismo, en caso de que el ordenador estuviera afectado por ellas.

Método de Propagación 

Korgo.P se propaga a través de Internet, atacando ordenadores remotos. Para ello, realiza el siguiente proceso:

• Korgo.P genera direcciones IP aleatorias, a las que intenta acceder.
• Si lo consigue, comprueba si el ordenador remoto presenta la vulnerabilidad LSASS. Esta vulnerabilidad es crítica en los sistemas operativos Windows XP/2000 que no han sido convenientemente actualizados.
• En caso afirmativo, obliga al ordenador remoto a descargarse una copia del gusano.

Korgo.P sólo se propaga de manera automática a ordenadores con Windows XP/2000. Sin embargo, también funciona en el resto de sistemas operativos Windows, si el archivo correspondiente al gusano es ejecutado de alguna forma por un usuario malicioso. En este último caso, Korgo.P convertiría dicho ordenador en un nuevo foco de propagación.

Otros Detalles  

Korgo.P tiene un tamaño de 9343 Bytes y está comprimido con UPX.

El campo ImageBase del encabezado PE del gusano contiene un valor inusualmente grande (0x30900000), con lo que garantiza que podrá ser cargado en una zona de memoria no utilizada del EXPLORER.EXE sin necesidad de realizar relocalizaciones.