Archivo para 6 septiembre, 2011
Quedan solo 6 dÃas, a resolver el crackme!
septiembre 6, 2011 4:00 pm
Solo quedan 6 dÃas para que se termine el plazo para resolver el crackme. Aquellos que no lo han intentado aún, les propongo que lo hagan, toda la información se encuentra en nuestro primer post.
Los ganadores obtendrán de manera automática una entrada gratuita al curso que dictarán analistas de ESET denomiando “Análisis de Malware: Métodos y Técnicas“.
Se ha realizado un cambio en el cronograma por lo que el training se dictará el dÃa 20 de septiembre y no el 19.
Recuerden que se trata de un curso de todo un dÃa en el cual aprenderán, entre otras cosas, cuáles son las técnicas de protección más utilizadas por el malware y cómo sobrepasarlas tanto manual como automáticamente.
Aquellos que ya tengan la solución, deberán enviar la misma a desafioeset@eset-la.com antes del 12 de septiembre.
Esperamos sus respuestas!
JoaquÃn RodrÃguez Varela
Malware Laboratory Coordinator
Los lectores habituales del blog están acostumbrados a ver análisis de malware, para conocer el comportamiento de las amenazas informáticas más importantes; y esta vez hemos seleccionado una muestra muy particular, ya que desde agosto integra el Top 10 de amenazas más propagadas en la región latinoamericana. Ramnit es un código malicioso del tipo virus que es reconocido por ESET NOD32 como Win32/Ramnit.A, y para el cual explicaremos a continuación su funcionamiento al momento de infectar un sistema.
El archivo se copia en uno de los siguientes directorios:
- %programfiles%\Microsoft\DesktopLayer.exe
- %commonprogramfiles%\Microsoft\DesktopLayer.exe
- %appdata%\Microsoft\DesktopLayer.exe
- %system%\Microsoft\DesktopLayer.exe
- %windir%\Microsoft\DesktopLayer.exe
- %temp%\Microsoft\DesktopLayer.exe
- %homedrive%%homepath%\Microsoft\DesktopLayer.exe
Además, realiza las siguientes modificaciones en el registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
Agregando las claves:
“Userinit” = “%originalvalue%, %malwarefolder%\Microsoft\DesktopLayer.exe”
Siendo DesktopLayer.exe una de las variables que utiliza para propagarse (hemos encontrado el virus bajo el nombre Watermark.exe también). Al modificar el Winlogon, el código malicioso se configura para ejecutarse siempre al inicio de Windows.
Ver más… »
