w32.stration.b , w32/stration-d, worm_stration.f
tipo: gusano
tama?o: 140,535 bytes
origen: internet
destructivo: no en la calle (in the wild): si detección y eliminación: the hacker 5.9 y 6.0 al 24/08/2006.
descripción:
w32/stration.b , es un gusano que se difunde a trav?s de envi? masivo de e-mail, busca direcciones de e-mail dentro de archivos con las siguientes extensiones .adb, .asp, .cfg, .cgi, .dbx, .dhtm, .eml, .htm, .html, .jsp, .mbx, .mdx, .mht, .mmf, .msg, .nch, .ods, .oft, .php, .pl, .sht, .shtm, .tbb, .txt, .uin, .wab, .wsh, .xls y .xml para luego enviarse a si mismo a todas las direcciones encontradas.
caracter?sticas del mensaje de email:
asunto: [variable uno de los siguientes]
good day server report hello picture status test error mail delivery system mail transaction failed cuerpo: [variable uno de los siguientes]
the message contains unicode characters and has been sentas a binary attachment. mail transaction failed. partial message is available. the message cannot be represented in 7-bit ascii encodingand has been sent as a binary attachment archivo adjunto: [variable uno de los siguientes nombres, seguido de dobles extensiones]
body data doc docs document file message readme test text - primera extensi?n, puede ser una de las siguientes (.log, .elm, .msg, .txt o .dat)
- segunda extensi?n, seguido por espacios en blanco y por una de las siguientes extensiones (.bat, .cmd, .scr, .exe y .pif)
----------------------------
cuando el gusano se ejecuta se copia a si mismo dentro de:
windows \svchost32.exe tambi?n crea los siguientes archivos dentro de:
system \cmut449c14b7.dll system \hpz1449c14b7.exe system \msji449c14b7.exe nota:
- windows , representa la carpeta de instalaci?n de windows (ej. c:\windows, c:\winnt )
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 ).
adem?s crea las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\system\controlset001\control\session manager
pendingfilerenameoperations=\??\ windows \svchost32.exe
hkey_local_machine\software\microsoft\windows nt\currentversion\windows
appinit_dlls=msji449c14b7.dll
finalmente se conecta al siguiente sitio url e intenta descargar un archivo
http://thoteforo.com
|
