Grum.A

Grum.A realiza las siguientes acciones:

• Infecta archivos ejecutables (.exe).
• Utiliza técnicas de rootkit para ocultar sus archivos y así dificultar su detección.
• Puede abrir un puerto para intentar acceder y controlar de manera remota el ordenador afectado, sin consentimiento por parte del usuario.
• Al ser ejecutado, intenta conectarse a una dirección IP con el fin de actualizarse.

Grum.A crea los siguientes archivos:

• WINLOGON.EXE en el directorio %UserProfile%\ Local Settings\ Temp\
  donde %UserProfile% es C:\Documents and Settings\[usuario_actual].
  Este archivo es una copia del gusano.
• SYS.BAT una vez creado, se carga en memoria para borrar el archivo original.
  

Grum.A modifica el archivo HOSTS, para que el usuario no pueda acceder a ciertas páginas web.

Grum.A también modifica varias librerías de enlace dinámico (DLL) para ocultar diferentes acciones y procesos que ejecuta en el ordenador afectado.

Grum.A crea la siguiente entrada en el Registro de Windows:

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  Firewall auto setup = %UserProfile%\ Local Settings\ Temp\ winlogon.exe
  Mediante esta entrada, Grum.A consigue ejecutarse cada vez que Windows se inicia.

Grum.A modifica la siguiente entrada en el Registro de Windows:

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windowm\ CurrentVersion\ Run
  Accediendo a esta entrada Grum.A infecta todos los archivos ejecutables (.exe) quese encuentran en ella. Con ello, consigue crear una copia de seguridad del archivo original, con la extensión .rgn, de todos los archivos infectados.

Grum.A puede llegar al ordenador en un falso mensaje de correo electrónico de descarga de la nueva versión de Internet Explorer. También podría llegar al sistema como un archivo descargado desde un sitio malicioso.

Grum.A tiene un tamaño de 33280 Bytes cuando está comprimido mediante TLPack.