Enciclopedia de Virus
Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
Efectos
Galapoper.C realiza las siguientes acciones:
- Espera a tener una conexión de internet disponible.
- Se conecta a varias páginas web que albergan un script PHP, para descargar un archivo:
http://217.159.20<bloqueado>ntr/ab.php
http://www.exelengineerin<bloqueado>ages/pics/ab.php3
http://aquanutechno<bloqueado>/ab.php
Esos scripts PHP reciben el nombre del ordenador afectado como parámetro, de manera que el archivo descargado puede ser diferente para cada sistema afectado. Esto proporciona la capacidad de lanzar ataques personalizados. - El archivo que descarga podría contener instrucciones para que el backdoor descargara y ejecutara otros archivos, o para actualizarse a sí mismo.
- Mientras Galapoper.C está ejecutándose y escuchando las páginas web antes mencionadas para recibir nuevos comandos de control o actualizaciones, crea dos hilos:
- El primer hilo envía spam. Obtiene del servidor al que se conecta una lista de direcciones de correo electrónico e información para componer los mensajes: asunto, dirección de remitente falsificada, nombre del remitente, URL, etc. Esto permite que los autores de Galapoper.C tengan un control absoluto sobre el mensaje enviado.
- El segundo hilo obtiene nueva información del servidor cada diez minutos, o cada vez que se alcanza una cantidad de 70000 mensajes de correo electrónico enviados.
Metodo de Infección
Galapoper.C crea el archivo SYMCSVC.EXE en el directorio de sistema de Windows. Este archivo es una copia del backdoor. Una vez creado, es ejecutado, y el archivo original desde el cual el backdoor fue previamente ejecutado en el ordenador, es eliminado.
Galapoper.C crea la siguiente entrada en el Registro de Windows:
- HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
aupd = %sysdir%\ symcsvc.exe
donde %sysdir% es el directorio de sistema de Windows.
Mediante esta entrada, Galapoper.C consigue ejecutarse cada vez que Windows se inicia.
Método de Propagación
Galapoper.C no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación. Los medios empleados son variados e incluyen, entre otros, disquetes, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, transferencia de archivos a través de FTP, canales de IRC y redes de intercambio de archivos punto a punto (P2P), etc.
Otros Detalles
Galapoper.C tiene un tamaño de 57854 Bytes.