Shamoon es un malware altamente destructivo, pero la pregunta es: ¿que hay detras de shamoon? ¿que procesos ejecuta shamoon? es importante saberlo ya que algo tiene que haber procesos maliciosos detras de shamoon.
primero que nada saber “aislar” un virus de informatica no es nada facil ya que normalmente estos vienen encriptados, afortunadamente las compañias antivirus y anti malware tienen la tecnologia, dinero y personal ccalificado para descifrar los virus ó por lo menos si no es posible descifrar el virus cuando menos son capaces de descubrir la vacuna a el malware.
Symatec ha descubieto lo que hace este peligroso virus llamado shamoon dirigido a el sector energetico.
En resumen el malware shamoon no se enfoca en robar datos sencibles, al menos eso aparenta hacer shamoon, mas bien lo que hace shamoon es lo que hace todo virus clasico, es decir shamoon lo que hace es destruir, destruir y nada más.
Cuando decimos destruir nos referimos a que todo ataque exitoso del virus shamoon es destruir es eso: Borrar y formatear el disco duro de las computadoras infectadas, esto tiene costos economicos muy altos sobretodo cuando la victima no tiene un buen sistema de backups.
pero ¿que hace exactamente shamoon que procesos ejecuta? la informacion se encuentra en la pagina www.symantec.com , pero en resumidas cuentas que ¿hace shamoon?
- Empieza copiandose a% System% trksvr.exe
- Despues de copiarse a varios directorios del sistema, sobreescribe los drivers del disco duro (especificamente: % System% drivers drdisk.sys) que son los quepermiten escribir datos en el disco duro.
- Luego sobreeescribe el MBR por lo que el equipo afectado no podrá iniciar
- La siguiente cadena que apunta a la ubicación de los símbolos de depuración se dejó en el componente limpiador de esta amenaza y da una idea de dónde se encuentra el componente en el equipo del desarrollador:
- C: Shamoon ArabianGulf limpiaparabrisas release wiper.pdb
- Los siguientes datos se envía al atacante:
- [DOMINIO]-un nombre de dominio
- [MYDATA], un número que indica cuántos archivos se sobrescriben
- [UID], la dirección IP del equipo afectado
- [ESTADO]-un número aleatorio
¿RESULTADO FINAL DE LO QUE HACE SHAMOON? el resultado es un sistema operativo windows que no pueda iniciar y la perdida de todos los archivos del disco duro.
Logicamente que symantec asegura que si usamos sus productos vamos a estar protegidos contra esa amenaza, lo cual podria ser una buena razon para consumir los productos de symantec.
Por eso siempre es y sera muy recomendable usar un buen antivirus mientras navegamos por internet ó mientras trabajamos en entorno de sistema operativo windows.
Aqui en exgoe.com hemos publicado un listado de antivirus, antispywares y otros productos de seguridad informatica, el listado lo podras ver en este link.