Worm.Dorkbot

Worm.Dorkbot es un gusano malicioso que se propaga por servicios de mensajería instantánea como Windows Live y Yahoo. Messenger y medios extraíbles. Este gusano malicioso también contiene una funcionalidad de puerta trasera que les garantizará a los atacantes remotos el acceso completo a la PC infectada. Además, Worm.Dorkbot opera bajo varios alias, uno de ellos es el siguiente:

Trojan.Win32.Scar.drih

Este gusano fue lanzado por primera vez el 9 de marzo de 2011 y ha infectado miles de PC alrededor del mundo. Lo que lo hace más peligroso aún es el hecho de que Worm.Dorkbot no presenta síntomas evidentes y los únicos síntomas que indicarían la presencia del gusano en la PC vendrían de software de seguridad instalado. Esto hará que sea más difícil para el usuario detectar y eliminar Worm.Dorkbot del sistema.

Después de que Worm.Dorkbot ingrese en el sistema, se ejecutará por sí solo y se copiará en el directorio de %AppData% mediante el uso de nombres de archivos de 6 letras generados aleatoriamente. Este es un ejemplo: ozkqke.exe. Modificará la siguiente entrada para ejecutar este archivo en cada inicio de Windows:

In subkey: HKCUSoftwareMicrosoftWindowsCurrentVersionRun
Sets value: ""
With data: "%appdata%.exe"

Una vez ejecutado, Worm.Dorkbot escribirá su código en explorer.exe, así como también en muchos otros procesos en ejecución en la PC infectada. La cantidad de procesos a los que Worm.Dorkbot puede acceder depende de si ha sido administrado con los privilegios de administrador.

Worm.Dorkbot se conectará a servidores específicos IRC, se unirá a canales y esperará órdenes de los desarrolladores. A continuación se describe una lista de servidores a los que Worm.Dorkbot se ha conectado sin que el usuario tenga conocimiento:

shuwhyyu.com
lovealiy.com
yegyege.com

Los desarrolladores detrás de Worm.Dorkbot pueden instruir al gusano para que obtenga la dirección y ubicación de IP de la PC infectada al conectarse a api.wipmania.com. Luego recolectará el tipo de sistema operativo de la PC infectada, el nivel de privilegio de usuario actual y su ubicación.

También, se le ordenará al gusano para que evite que el usuario vea o altere sus archivos. Esto se lleva a cabo al conectar las siguientes funciones dentro del que sea inyectado:

NtArchivodedirectoriopregunta
NtEnumerarclavedevalor
CopiararchivoA/W
EliminararchivoA/W

El gusano bloqueará el acceso del usuario a los siguientes sitios web de seguridad:

avast.
avg.
avira.
bitdefender.
bullguard.
clamav.
comodo.
emsisoft.
eset.
fortinet.
f-secure.
garyshood.
gdatasoftware.
heck.tc
iseclab.
jotti.
kaspersky.
lavasoft.
malwarebytes.
mcafee.
necare.live.
norman.
norton.
novirusthanks
onlinemalwarescanner.
pandasecurity.
precisesecurity.
sophos.
sunbeltsoftware.
symantec

Para poder deshacerse de Worm.Dorkbot y limitar el daño que esta amenaza maliciosa pueda provocar en su PC, destruya Worm.Dorkbot con la ayuda de una herramienta de seguridad poderosa que protegerá su PC adecuadamente de ataques similares en un futuro.