Enciclopedia de Virus
Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
Stuxnet.A | |
Peligrosidad Daño Propagación |
Efectos |
El objetivo de Stuxnet.A es llevar a cabo un ataque dirigido a empresas con sistemas SCADA (ver Nota) que utilicen WINCC de Siemens, con el objetivo de recopilar información. Para instalarse en el ordenador, aprovecha la vulnerabilidad MS10-046 (CVE-2010-2568). Se trata de una vulnerabilidad de Windows que afecta a los accesos directos y que permite ejecutar código remoto. Stuxnet.A realiza las siguientes acciones: - La infección se inicia con varios accesos directos especialmente diseñados para explotar la vulnerabilidad ubicados en un dispositivo USB infectado.
- Los accesos directos maliciosos son los siguientes:
Copy of Copy of Copy of Copy of Shortcut to.lnk
Copy of Copy of Copy of Shortcut to.lnk
Copy of Copy of Shortcut to.lnk
Copy of Shortcut to.lnk - Si el ordenador es vulnerable, se descarga y ejecuta automáticamente la librería ~WTR4141.TMP, sin tener que pulsar sobre el acceso directo, ya que dicha vulnerabilidad permite ejecutar código remoto.
- Esta librería se encarga de cargar y ejecutar otra librería, denominada ~WTR4132.TMP, que suelta varios rootkits en el ordenador. Estos rootkits permiten ocultar al gusano y así dificultar su detección.
Microsoft ya ha publicado el parche de seguridad que resuelve esta vulnerabilidad. Si su ordenador tiene instalado Windows 2008/7/Vista/2003/XP, acceda a la página web con de descarga de este parche. Nota: SCADA es una aplicación de software especialmente diseñada para funcionar sobre ordenadores en el control de producción, proporcionando comunicación con los dispositivos de campo y controlando el proceso de forma automática desde la pantalla del ordenador. |
Metodo de Infección
Stuxnet.A crea los siguientes archivos:
- MRXCLS.SYS y MRXNET.SYS, en la carpeta drivers del directorio de sistema de Windows. Estos archivos corresponden al malware detectado como Rootkit/TmpHider. Estos archivos tienen las firmas digitales, supuestamente robadas, de ciertas empresas. El objetivo no es otro que hacerse pasar por archivos legítimos.
- MDMCPQ3.PNF, MDMERIC3.PNF, OEM6C.PNF y OEM7A.PNF, en la carpeta Inf del directorio de Windows. Los archivos con extensión PNF son archivos de datos encriptados.
Stuxnet.A crea las siguientes entradas en el Registro de Windows:
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXCLS\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MRXNET\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet\Enum
Mediante estas entradas, los rootkits consiguen registrarse como servicio y ejecutarse en cada arranque del sistema. Además, se inyectan en los procesos LSASS.EXE, SERVICES.EXE, EXPLORER.EXE y SVCHOST.EXE para que no se puedan ver a simple vista.
Método de Propagación
Stuxnet.A se propaga a través de dispositivos extraíbles, como llaves USB, copiando los accesos directos maliciosos en las llaves USB que se conecten a un ordenador infectado. Estos accesos directos se aprovecha de la vulnerabilidad denominada MS10-046 (CVE-2010-2568), que afecta a los archivos con extensión LNK.
Otros Detalles
Stuxnet.A tiene un tamaño de 8192 Bytes.
Además, Stuxnet.A crea varios mutex aleatorios, para asegurarse de que únicamente haya una copia de sí mismo ejecutándose en cada momento.
>
