Gavir.A
PeligrosidadDañoPropagación

Efectos 

Gavir.A realiza las siguientes acciones:

• Descarga el troyano Legmir.BM desde una página web.
• Ejecuta el troyano en el ordenador afectado.

Metodo de Infección 

Gavir.A crea los siguientes archivos:

• Una copia de sí mismo en el directorio de Windows.
• Un script en el directorio temporal, que borra el gusano y a sí mismo, una vez Gavir.A ha terminado su ejecución.
• Un archivo ejecutable en el mismo directorio en que ha sido ejecutado Gavir.A. El nombre de dicho archivo es el mismo que el del gusano, pero añadiendo una extensión EXE.

Gavir.A crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Soft\ DownloadWWW
  auto = 1
  Gavir.A crea esta entrada únicamente si consigue descargar el troyano Legmir.BM.

Método de Propagación 

Gavir.A se propaga a través de recursos compartidos de red. Para ello, realiza el siguiente proceso:

• Comprueba si el ordenador afectado pertenece a una red.
• En caso afirmativo, intenta hacer una copia de sí mismo en los recursos compartidos IPC$ y ADMIN$. Para conseguir acceso a estos recursos, Gavir.A utiliza una contraseña en blanco, o la misma contraseña que la del ordenador afectado
• Si lo consigue, Gavir.A crea una tarea programada en el ordenador remoto mediante el Programador de Tareas, para ejecutar la copia de sí mismo que ha realizado.

>

Otros Detalles  

Gavir.A está escrito en el lenguaje de programación Delphi. Este gusano tiene un tamaño de 851456 Bytes.

Gavir.A crea el mutex SemaphoreMe para asegurarse de que únicamente haya una copia de sí mismo activa en cada momento.