Randex family

Chi è

Un worm che sta sfidando gli alfabeti internazionali, tra un po' non ci saranno più lettere disponibili per indicarne le innumerevoli varianti.
Data la loro quantità, quando l'antivirus indica una versione .gen, solitamente significa che è una variante non meglio identificata, e per riconoscerla occorre tentare con altri antivirus, anche se non è detto che questi al momento la sappiano individuare.
Per ogni variante, una volta identificata, sarà comunque meglio approfondire la sua conoscenza con le analisi dettagliate delle case di antivirus, nonostante il fatto che da un'attenta lettura delle stesse, si scoprano purtoppo anche incongruenze e differenze, ma qui cerchiamo di dare, dove possibile, almeno un'indicazione di massima per non perdersi nei meandri delle sigle.

Denominazioni Symantec e aliases, in ordine di apparizione:

Da dove caspio arriva

Direttamente dalla rete da altre macchine infette, tramite condivisioni aperte senza password o con password deboli, è sufficiente essere connessi ad Internet.
Alcune varianti aprono la strada ad altre backdoor.

Come si prende

Automaticamente lasciando sul proprio pc condivisioni di files o cartelle o addirittura dell'intero disco (p.es. C$, Admin$, ipc$), con password deboli o senza password, in alcuni casi approfittando di vulnerabilità del sistema stesso, per esempio la vulnerabilità DCOM RPC (quella sfruttata anche dal Blaster) di cui al bollettino Microsoft MS03-26

Cosa fa

In sintesi

A seconda della versione, apre la strada ad altre backdoor, permette l'accesso ad altri al proprio pc o rete, genera attacchi DDoS o invia pacchetti di dati ad altre macchine, si appropria delle condivisioni presenti sulla macchina infetta, crea files e chiavi di registro, ruba le chiavi di accesso di una serie di giochi, comunica dati a server IRC predefiniti, in attesa di istruzioni dal suo capo.
Si nota generalmente un rallentamento del sistema, più o meno evidente a seconda del tipo di macchina infetta.

Quali porte utilizza

A seconda della versione, porte TCP o UDP, 20, 69, 113, 445, 1024, 3330, 3331, 3332, 3361, 4024, 4444, 55808 o altre random.

Quali password sono a rischio

Quelle inesistenti e, a seconda della versione del worm, le seguenti:

Files infetti

Oltre a creare proprie condivisioni e cartelle, vengono creati altri files, di cui occorre far bene attenzione al nome, in quanto spesso molto simili ad altri di sistema, o addirittura uguali ma creati in directory diverse, oppure, come nel caso dei servizi, incorporati in un servizio già esistente (semplificando di molto il concetto).

Chiavi di registro

A parte qualche eccezione, le chiavi di registro aggiunte dalle varie versioni sono sempre al solito posto, ma anche se nella maggior parte dei casi quelle interessate sono solo due, meglio verificare sempre tutte le seguenti:

Randex.B

aggiunge "superslut"="msslut32.exe"

Randex.C

aggiunge "Microsoft Netview"="%System%\gesfm32.exe"

Randex.D

aggiunge "mssyslanhelper"="msmsgri32.exe"
oppure "mslanhelper"="msmsgri32.exe"
e la sua Backdoor Roxy
aggiunge "System Initialization"="payload.dat"

Randex.E

aggiunge "NDplDeamon"="nstask32.exe"
aggiunge "NDpLDeamon"="winlogin.exe"
aggiunge "winlogon"="winlogin.exe"
in W95, W98 o ME aggiunge al file System.ini la seguente riga
[boot]
shell = explorer.exe <nomefile del virus<
in Windows NT, 2000 o XP modifica la chiave originale
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
con "Shell"="explorer.exe winlogin.exe"
oppure "Shell"="explorer.exe nstask32.exe"

Randex.F

aggiunge "MicrosoftNetwork Daemon for Win32" = NETD32.EXE
aggiunge "Microsoft Netview Component v5.1" = msnv32.exe
aggiunge "This is a virus, please delete it" = bigbadvirus.exe

Randex.G

aggiunge "Winux Piriax Service" = PH32.EXE

Randex.H

aggiunge "Microsoft Spool Server for Win32" = "spoolsrv.exe"

Randex.J

aggiunge "helpmanager"=%System%\spoler.exe

Randex.P

aggiunge "Mspatch89"="%System%\cnqmax.exe"

Randex.Q

aggiunge "MusIRC (irc.music.com) client"=%System%\musirc4.71.exe

Randex.R

aggiunge "Windows Services" = "service.exe"

Randex.S

aggiunge "System time updator"="CSysTime.exe"

Randex.T

aggiunge "Postpatch"="nvdes.exe"
aggiunge "Postdavatch"="nvdas.exe"

Randex.Y

aggiunge "Iamnacho On Irc.MusIrc.com Is a Homosexual!=XBox64.exe"
crea
HKEY_LOCAL_MACHINE\SOFTWARE\Krypton\<percorsoenomefileoriginalevirus> HKEY_LOCAL_MACHINE\SOFTWARE\Krypton\%System%\XBox64.exe

Randex.Z

aggiunge "Pofatch"="nstrue.exe"

Randex.AD

aggiunge "System Configuration"="%System%\iexplore.exe"

Randex.AR

aggiunge "Microsoft UPDATER32"="%System%\lsass32.exe"

Randex.AT

aggiunge "Microsoft Internet Firewall Manager"="GMT16.exe"

Randex.AW

aggiunge "kernel system daemon" = "ACTIVAT0R.exe"

Randex.AX

"Microsoft Database Handler" = "mssql32.exe"
"Microsoft Windows Dependency Rerouter" = "QMS32.exe"

Randex.AZ

aggiunge "System Executable DLL Library" = "EXECDLL32.exe"

Randex.BD

aggiunge "Microsoft Runtime"="CfgDll32.exe"

Randex.BE

aggiunge "Casdvqwa" = "bmqnzkg.exe"

Come si elimina

Se si ha un po' di dimestichezza con il pc, una volta individuato il tipo di virus la pulizia può anche essere fatta tutta a mano, ma l'ausilio di un buon antivirus sempre aggiornato non guasta mai, e nel dubbio, trattandosi di un worm con molte varianti, anche una scansione prudenziale con un secondo antivirus può risultare utile, specialmente perché una nuova versione riveduta e corretta dal lamerozzo di turno potrebbe sempre avere altri nomi di files ed altre caratteristiche.

Utile ed interessante anche controllare i files in esecuzione, sia con ctrl+alt+canc (Task Manager) che con msinfo32, nativo in tutte le versioni di Windows a parte W95, in cui però può essere "trapiantato" con ottimi risultati :-)

1. Se si possiede Windows ME o XP si deve disattivare il Restore - la funzione di ripristino - vedere in questo sito sezione Misc, oppure cercare con Google - onde impedire che qualsiasi cancellazione del virus venga ripristinata dal sistema
2. Applicare tutte le patches, in particolar modo quella citata dal bollettino Microsoft MS03-26
3. Aggiornare l'antivirus e disconnettere fisicamente la macchina sia da Internet che da una eventuale rete locale
4. Nell'impostazione delle cartelle scegliere la visualizzazione di tutti i files, compresi quelli nascosti e di sistema
5. Se non sono necessarie condivisioni, e il pc non è in rete con altri, eliminare il NetBios e non ripristinarlo più
6. Eliminare tutte le condivisioni, sia del disco, che di cartelle, files o stampanti o altre periferiche
7. Riavviare il pc in modalità provvisoria oppure in Dos, ed effettuare la scansione completa del sistema
8. Eliminare tutti i files temporanei di Internet, e quelli in eventuale cartella Temp
9. Eliminare prima tutti i files individuati come infetti, terminandone l'esecuzione con ctrl+alt+canc se eventualmente venissero segnalati come "in uso", poi tutte le chiavi di registro che li richiamano (in caso non si eliminassero anche le chiavi di registro, al successivo riavvio si avrebbe la segnalazione dal sistema di un file mancante - quello del virus)
10. Eventualmente riavviare in modalità normale e rifare la scansione del sistema su tutti i files
11. Chiudere tutte le porte inutilmente aperte o installare un firewall
12. Cambiare tutte le proprie password, che la possibilità di farsi molto male è sempre dietro l'angolo
13. Solo dopo aver fatto tutti i passaggi su eventuali altre macchine presenti nella propria rete, ripristinare le condivisioni con password robuste e riconnettere le macchine tra di loro ed a loro volta ad Internet