YOU’RE NOT VIEWING PANDA SECURITY USA. CLICK TO IMPROVE YOUR EXPERIENCE
VISIT PANDA SECURITY USA
x
OFERTA 48H
Si ya eres cliente de nuestra protección para particulares,
renueva ahora con un 50%
RENOVAR AHORA
x
OFERTA 48 HORAS
50%
RENOVACIONES Solo clientes particulares
RENUEVA CON DESCUENTO
x
OFERTA ESPECIAL
Si ya eres cliente de nuestra protección para particulares,
renueva ahora con un 50%
RENOVAR AHORA
x
OFERTA HALLOWEEN
Aprovéchate de unos
descuentos de miedo
COMPRA HOY AL 50%
x
OFERTA ESPECIAL
Compra el mejor antivirus
al mejor precio
COMPRA HOY AL 50%
x
OFERTA ESPECIAL
Compra el mejor antivirus
al mejor precio
COMPRA HOY AL 50%
x
HASTA
-60%
COMPRA YA
x
HASTA
-60%
COMPRA YA
Active Scan. Analiza Gratis tu PC

Enciclopedia de Virus

Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.

Encyclopedia GetVirusCard True 0

Stuxnet.A

PeligrosidadPeligrosidad bajaDañoDañinoPropagaciónPoco extendido

Efectos 

El objetivo de Stuxnet.A es llevar a cabo un ataque dirigido a empresas con sistemas SCADA (ver Nota) que utilicen WINCC de Siemens, con el objetivo de recopilar información.

Para instalarse en el ordenador, aprovecha la vulnerabilidad MS10-046 (CVE-2010-2568). Se trata de una vulnerabilidad de Windows que afecta a los accesos directos y que permite ejecutar código remoto.

Stuxnet.A realiza las siguientes acciones:

  • La infección se inicia con varios accesos directos especialmente diseñados para explotar la vulnerabilidad ubicados en un dispositivo USB infectado.
  • Los accesos directos maliciosos son los siguientes:
    Copy of Copy of Copy of Copy of Shortcut to.lnk
    Copy of Copy of Copy of Shortcut to.lnk
    Copy of Copy of Shortcut to.lnk
    Copy of Shortcut to.lnk
  • Si el ordenador es vulnerable, se descarga y ejecuta automáticamente la librería ~WTR4141.TMP, sin tener que pulsar sobre el acceso directo, ya que dicha vulnerabilidad permite ejecutar código remoto.
  • Esta librería se encarga de cargar y ejecutar otra librería, denominada ~WTR4132.TMP, que suelta varios rootkits en el ordenador. Estos rootkits permiten ocultar al gusano y así dificultar su detección.

 

Microsoft ya ha publicado el parche de seguridad que resuelve esta vulnerabilidad. Si su ordenador tiene instalado Windows 2008/7/Vista/2003/XP, acceda a la página web con de descarga de este parche.

 

Nota: SCADA es una aplicación de software especialmente diseñada para funcionar sobre ordenadores en el control de producción, proporcionando comunicación con los dispositivos de campo y controlando el proceso de forma automática desde la pantalla del ordenador.

Metodo de Infección 

Stuxnet.A crea los siguientes archivos:

  • MRXCLS.SYS y MRXNET.SYS, en la carpeta drivers del directorio de sistema de Windows. Estos archivos corresponden al malware detectado como Rootkit/TmpHider. Estos archivos tienen las firmas digitales, supuestamente robadas, de ciertas empresas. El objetivo no es otro que hacerse pasar por archivos legítimos.
  • MDMCPQ3.PNF, MDMERIC3.PNF, OEM6C.PNF y OEM7A.PNF, en la carpeta Inf del directorio de Windows. Los archivos con extensión PNF son archivos de datos encriptados.

 

Stuxnet.A crea las siguientes entradas en el Registro de Windows:

  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS\0000
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS\0000\Control
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET\0000
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET\0000\Control
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Enum
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet
  • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet\Enum
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000\Control
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000\Control
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls\Enum
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet\Enum
    Mediante estas entradas, los rootkits consiguen registrarse como servicio y ejecutarse en cada arranque del sistema. Además, se inyectan en los procesos LSASS.EXE, SERVICES.EXE, EXPLORER.EXE y SVCHOST.EXE para que no se puedan ver a simple vista.

Método de Propagación 

Stuxnet.A se propaga a través de dispositivos extraíbles, como llaves USB, copiando los accesos directos maliciosos en las llaves USB que se conecten a un ordenador infectado. Estos accesos directos se aprovecha de la vulnerabilidad denominada MS10-046 (CVE-2010-2568), que afecta a los archivos con extensión LNK.

Otros Detalles  

Stuxnet.A tiene un tamaño de 8192 Bytes.

Además, Stuxnet.A crea varios mutex aleatorios, para asegurarse de que únicamente haya una copia de sí mismo ejecutándose en cada momento.

>