🚀 go-pugleaf

 Si IRC y sus usuarios ya paresen un virus, aca va algo
que podria empeorar el asunto:

(Publicado en noticias Intercom)

---------------------------------------------------------------------
5.-  Dias 1 y 2: Atencion al Gusano!


 Bajo el nombre de IRC-Worm.Septic se ha encontrado un nuevo
 gusano capaz de reproducirse por multiples vias, desde
 el IRC, hasta los ficheros html o los bat.

 Antonio Ropero - Hispasec, una las paginas en espanol con
 mayor prestigio en temas de seguridad y proteccion, ha
 alertado a los usuarios de la red de la aparicion de un nuevo
 "gusano" que actua los dias 1 y 2 de cada mes. Reproducimos
 de esta pagina el articulo de como se manifiesta este nuevo
 virus.
 
 El virus se manifiesta los dias 1 y 2 de cada mes, mostrando
 un mensaje y reproduciendo un efecto de video, mediante
 el uso de funciones VGA el virus cambia los colores del monitor
 realizando fundidos al negro. El primer dia muestra el
 siguiente mensaje: �Only in your dreams you can be truly
 free! ~�DarK.MeSsiAh�~  written by SeptiC [TI] �, mientras
 que el segundo cambia para  presentar lo siguiente: �Pure
 evil comes from within!  �DarK.MeSsiAh�~ Written by SeptiC
 [TI]�.
 
 El virus tambien soporta una proteccion para deshabilitar
 rutinas infecciosas. Cuando se ejecuta una copia del virus,
 se busca el 
 archivo c:_vac.txt, en caso de encontrarlo regresa
 inmediatamente al programa infector, mostrando el mensaje:
 �You are protected by 
 a devine power ~�DarK.MeSsiAh�~ will not touch your files�.
 
 La parte principal del virus esta formada por un infector
 DOS ordinario, con encriptacion. De tal forma que cuando
 se ejecuta el bucle de desencriptacion restaura el codigo
 del virus a su forma no encriptada, saltando a la rutina
 virica principal. En ese momento busca ejecutables DOS,
 tanto exe como com, procediendo a su infeccion, proceso
 para el que se encripta y escribe su codigo al final del archivo
 modificando la cabecera de este.
 
 Septic busca ficheros en el directorio en que se encuentra,
 en los directorios superiores y en general en el arbol de
 directorios de todas las unidades desde la C: hasta G:.
 Se realiza un chequeo de nombres de los archivos para evitar
 infectar COMMAND, ?GA*, ??NP*, ???GW*. Si encuentra alguno
 de los ejecutables del cliente mIRC de IRC, tambien ejecuta
 una rutina de infeccion del script de dicho programa. 
 
 Para protegerse de cualquier antivirus procede a danar
 los ficheros claves para la mayorcia de productos (F-*,
 TO*, TB*, SC*, AV* de F-PROT, TBAV, SCAN y AVP respectivamente),
 de tal forma que al ejecutar el antivirus mostrara el mensaje:
 �~�DarK.MeSsiAh�~ a Digital Touch of DarKness! Written
 by SeptiC [TI]� regresando al DOS. 
 
 El virus tambien busca ficheros bat y html, para proceder
 a su infeccion. En la infeccion a ficheros bat anade al final
 del archivo una serie de comandos para reemplazar por un
 conjunto de dos instrucciones la order "dir" del DOS.
 La primera ejecuta el lanzador de virus porno.com, la segunda
 ejecuta la propia orden dir, de tal forma que cualquier
 instruccion "dir" el lanzador del virus es ejecutado.
 El lanzador del virus, llamado porno.com es creado en el
 directorio command de Windows (C:WINDOWSCOMMAND,
 C:WIN95COMMAND o C:WIN98COMMAND).
 
 Para infectar ficheros html, el programa crea otro infector
 distinto bajo el nombre de patch.com, anadiendo al final
 de cada pagina html una serie de instrucciones para mostrar
 el mensaje: �Download The Latest Patch! Click Here!�.
 Donde, �click here� creara un link para realizar un download
 o ejecucion del archivo infecto PATCH.COM. 
 
 Para la infeccion del cliente mIRC emplea la tecnica ya
 utilizada por otros virus de modificar el archivo script.ini,
 anadiendo multitud de comandos. La principal modificacion
 recae sobre el conjunto de instrucciones de envio de ficheros,
 cuando el usuario envie o reciba archivos, el virus enviara
 su propio infector �porno.com�. El virus tambien enviara
 mensajes al canal, y a los usuarios, donde se encuentre
 el cliente infectado. Bajo el nick de "SeptiC_dm" enviara
 el mensaje �I am your servant! I have been turned into a zealot
 of darkness�. Tambien mostrara distintos mensajes o realiza
 acciones si determinadas cadenas de texto aparecen en
 los mensajes que se escriban en el canal.
 
 Mas informacion:
 http://www.avp.com/septic/septic.html
 
 HispaSec (http://www.hispasec.com)
 Antonio Ropero
 
-- 
      _                                   ___                         _ 
 _ _ | |_  ___  _ _ ._ _ _  ___ ._ _  ___|  "| ___  _ _  ___     ___ | |
| '_>| . |/ ._>| '_>| ' ' |<_> || ' |<_-<| \_|| . \| | |/ | ' _ / | '| |
|_|  |_|_|\___.|_|  |_|_|_|<___||_|_|/__/`___/|  _/`___|\_|_.<_>\_|_.|_|
Rodolfo Ignacio Hermans Zu~iga                |_| mailto:rhermans@puc.cl