Giga. No. 4, 2008 - Editorial Universitaria

En el directorio sistema del disco duro
(ej: c:\WINNT\system32, c:\Windows\
system32), crea además, otros ficheros
con los mismos atributos que habitualmente
tienen por nombre kavo.exe,
kavo0.dll, amvo.exe, amvo0.dll, amvo1.
dll, avpo0.dll, avpo1.dll, kxvo.exe,
fool0.dll y ieso0.dll,
La .dll es inyectada en procesos en
ejecución (figura 4), tal como el
Explorer, técnica muy empleada para
ocultar componentes de los códigos
malignos en memoria, a la vez que
se emplean sus funcionalidades.
El archivo ejecutable (ej: kavo.exe) no
es más que una copia del llamado
desde el autorun.inf (ej: dp.cmd) y con
el fin de que tome el control cada vez
que el sistema se reinicie, se modifica
el Registro del sistema (figura 5 y 6).
Nota: Las alteraciones del Registro para
ejecutar los archivos con códigos malignos,
presentes en los discos, son aspectos
que se han estandarizado entre
sus autores y son las más empleadas las
realizadas en las llaves:
HKLM\Software\Microsoft\Windows
\CurrentVersion\Run
HKCU\Software\Microsoft\Windows
\CurrentVersion\Run
HKLM\System\CurrentControlSet\
Services
Adicionalmente, las opciones de colocar
archivos ejecutables en las carpetas
Common Startup y Startup que se
softweriando
encuentran asociadas al proceso de
inicio del sistema, y la alteración de
los ficheros System.ini y Win.ini con
comandos que hacen llamados a
ellos, son también tenidas en cuenta
con cierta frecuencia.
Nota: Este también es un comportamiento
usual en los programas
malignos. A ellas se unen otras que
deshabilitan el uso de aplicaciones
del propio sistema operativo que
permiten ver y finalizar procesos en
Fig. 5 Enlace mediante el registro de Windows del fichero kavo.exe, para su ejecución desde el
inicio del Sistema, corroborado con la herramienta InCtrl (PC Magazine).
Fig. 4 Procesos en memoria en los que kavo0.dll ha sido inyectada, acción que se puede comprobar con la
herramienta Process Explorer de SysInternal.
memoria (Taskmanager.exe)
y editar el Registro
(Regedit.exe).
Un "vaciado" de la porción
en memoria ocupada por
la dll antes mencionada
(ej: kavo0.dll) muestra cadenas
de texto asociadas a
estas variaciones del Registro
(figura 9).
Esta dll también es explotada
para monitorear procesos
relacionados con
juegos de computadoras
(figura 10), ejemplo: cabalmain.exe
(Cabal Online),
fairlyclient.exe (ROHAN),
wow.exe (World of Ward-
Craft), so3d. exe (Seal
Online), hyo.exe (HuangYi
Fig. 6 Enlace mediante el registro de Windows del fichero kavo.exe para su ejecución desde el inicio
del Sistema, ratificado con la utilidad Process Viewer (de Igor Nys).
Para dificultar al usuario la posibilidad de detectar de manera sencilla la presencia
de los ficheros creados, los Onlinegame también realizan otras alteraciones en el
Registro (figura 7 y 8).
Fig. 7. Modificaciones en el registro para ocultar la presencia de los ficheros creados.
[GiGA 4 / 2008]
21