w32/mywife.mime, worm_grew.a, w32/nyxem-d, w32/mywife.d@mm, w32.blackmal.e@mm, w32/grew.a!wm, w32/tearec.a.worm, w32/kapser.a@mm, win32/blackmal.f, email-worm.win32.vb.bi, w32/small.ki@mm, w32/grew.a, nyxem.e, kamasutra, w32/mywife.d@mm!m24, email-worm.win32.nyxem.e, w32/nyxem-d, cme-24, w32/nyxem.e, kama sutra
tipo: gusano
tama?o: aprox. 95 kb.
origen: internet
destructivo: si (rutina de activaci?n el 3er d?a de cada mes) en la calle (in the wild): si detección y eliminación: the hacker 5.9, registro de virus al 17/01/2006
importante!! - actualizaci?n de descripci?n al 25 de enero del 2006 el gusano tiene una peligrosa rutina de activaci?n (payload), la cual se activa el 3er d?a de cada mes aproximadamente 30 minutos despu?s de iniciado el sistema, el gusano busca y sobrescribe todos los archivos con las siguientes extensiones que encuentre en el computador infectado:
.doc .xls .mdb .mde .ppt .pps .zip .rar .pdf .psd .dmp los archivos son sobrescritos con el siguiente texto:
data error [47 0f 94 93 f4 k5]
descripci?n al 17 de enero del 2006 w32/vb.bi, es un gusano que se difunde a trav?s de env?o masivos de e-mail, utiliza su propio motor smtp para enviarse a todas las direcciones de e-mail que encuentre en el computador atacado y en archivos con las siguientes extensiones, .htm, .dbx, .eml, .msg, .oft, .nws, .vcf, .mbx, .imh, .txt, y .msf. tambi?n busca direcciones de e-mail dentro de archivos que en su nombre tengan los siguientes textos content. y temporary .
caracter?sticas del mensaje de e-mail:
asunto: [variable]
*hot movie* a great video fw: dsc-00465.jpg fw: funny :) fw: picturs fw: real show fw: sex.mpg fw: sexy fwd: crazy illegal sex! fwd: image.jpg fwd: photo give me a kiss miss lebanon 2006 my photos part 1 of 6 video clipe photos school girl fantasies gone bad cuerpo: [variable]
note: forwarded message attached. you must view this videoclip! >> forwarded message re: sex video i just any one see my photos. its free :) the best videoclip ever hot xxx yahoo groups fuckin kama sutra pics ready to be fucked ;) forwarded message attached. videos! free! (us$ 0,00) what? i send the file. helloi attached the details. thank you the file i send the details hello, please see the file. how are you? i send the details. archivo adjunto: [variable, pueden ser archivos ejecutables o archivos en formato mime]
007.pif 392315089702606e-02,.scr 677.pif adults_9,zip.scr arab sex dsc-00465.jpg att01.zip.scr attachments[001],b64.scr clipe,zip.scr document.pif dsc-00465.pif dsc-00465.pif ebook.pdf ebook.pif image04.pif new video,zip new_document_file.pif photo.pif photos,zip.scr school.pif sex,zip.scr sex.mim video_part.mim winzip,zip.scr winzip.bhx winzip.zip.scr word xp.zip.scr word.zip.scr nota.- si el archivo esta en formato mime este puede contener un archivo con uno de los siguientes nombres:
392315089702606e-02,uue[espacios en blanco].scr adults_9,zip[espacios en blanco].scr att01.zip[espacios en blanco].scr atta[001],zip[espacios en blanco].scr attachments,zip[espacios en blanco].scr attachments[001],b64[espacios en blanco].scr clipe,zip[espacios en blanco].scr new video,zip[espacios en blanco].scr photos,zip[espacios en blanco].scr sex,zip[espacios en blanco].scr winzip,zip[espacios en blanco].scr winzip.zip[espacios en blanco].scr word xp.zip[espacios en blanco].scr word.zip[espacios en blanco].scr los archivos codificados en formato mime tambi?n pueden utilizar las siguientes extensiones:
.mim .hqx .bhx .b64 .uu .uue -----------------------
cuando el gusano se ejecuta copia un archivo de nombre sample.zip y lo ejecuta dentro de la carpeta system , tambi?n copia los siguientes archivos
windows \rundll16.exe windows \ winzip_tmp.exe system \scanregw.exe system \winzip.exe system \update.exe system \winzip_tmp.exe system \sample.zip nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 )
adem?s crea la siguiente entrada en el registro para poder ejecutarse en cada reinicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
scanregistry= system \scanregw.exe /scan
tambi?n modifica las siguientes entradas:
hkey_current_user\software\microsoft\windows\currentversion\explorer\advanced
showsuperhidden=0
hkey_current_user\software\microsoft\windows\currentversion\explorer\advanced
webview=0
hkey_current_user\software\microsoft\windows\currentversion\explorer\cabinetstate
fullpath=0
tambi?n elimina archivos que encuentre en las siguientes rutas:
programfiles \dap\*.dll programfiles \bearshare\*.dll programfiles \symantec\liveupdate\*.* programfiles \symantec\common files\symantec shared\*.* programfiles \norton antivirus\*.exe programfiles \alwil software\avast4\*.exe programfiles \mcafee.com\vso\*.exe programfiles \mcafee.com\agent\*.* programfiles \mcafee.com\shared\*.* programfiles \trend micro\pc-cillin 2002\*.exe programfiles \trend micro\pc-cillin 2003\*.exe programfiles \trend micro\internet security\*.exe programfiles \navnt\*.exe programfiles \morpheus\*.dll programfiles \kaspersky lab\kaspersky anti-virus personal\*.ppl programfiles \kaspersky lab\kaspersky anti-virus personal\*.exe programfiles \grisoft\avg7\*.dll programfiles \trend micro\officescan\*.dll programfiles \trend micro\officescan client\*.exe programfiles \limewire\limewire 4.2.6\limewire.jar cierra todas las ventanas que tengan como titulo alguno de los siguientes textos:
symantec scan kaspersky virus mcafee trend micro norton removal fix tambi?n elimina los siguientes valores del registro:
pcciomon.exe pccguide.exe pop3trap.exe pccpfw tmproxy mcafeevirusscanservice navagent pccclient.exe ssdpsrv rtvscn95 defwatch vptray scaninicio apvxdwin kavpersonal50 kaspersky tmoutbreakagent avg7_run avg_cc avgserv9.exe avgw avg7_cc avg7_emc vetalert vettray officescanntmonitor avast! downloadaccelerator bearshare que encuentre en las siguientes entradas:
hkey_current_user\software\microsoft\windows\currentversion\run hkey_local_machine\software\microsoft\windows\currentversion\run hkey_local_machine\software\microsoft\windows\currentversion\runservices tambi?n intentar? acceder al siguiente sitio web:
http://webstats.[removido].net/count.cgi?df=765247
finalmente el gusano se difunde a trav?s de recursos compartidos, este busca las siguientes carpetas compartidas, donde se copiara a si mismo utilizando un archivo de nombre winzip_tmp.exe
admin$ c$
|
