w32.wallon.a@mm , worm_wallon.a, win32.wallon, w32/wallon.worm.a, i-worm.wallon
tipo: gusano
tama?o: 36,352 bytes
origen: internet
destructivo: no en la calle (in the wild): si detecci?n y eliminación the hacker 5.6, registro de virus al 12/05/2004
w32/wallon.a@mm , es un gusano de envi? masivo de e-mails utiliza su propio motor smtp para enviarse a todas las direcciones de e-mail que encuentre en el computador atacado, este llega en un mensaje que contiene un enlace para descargar el archivo del gusano desde una determinada direcci?n url.
ignora direcciones de e-mail que esten conformadas por las siguientes cadenas de texto
microsoft
support
software
webmaster
postmaster
admin
el gusano se aprovecha de las siguientes vulnerabilidades descritas en los boletines de microsoft security bulletin ms04-004 y microsoft security bulletin ms04-013
caracter?sticas del mensaje de e-mail:
asunto: re:
cuerpo:
http://drs.yahoo.com/<nombre del dominio>/news
------------------------
seguidamente si se presiona el enlace mencionado, el usuario ser? redireccionado a un determinado sitio web, desde donde descargar? el archivo wmplayer.exe dentro de la carpeta del windows media player , de esta forma el gusano intenta sobrescribir el archivo ejecutable del windows media player , cada vez que se ejecute dicho programa, se estar? ejecutando al gusano.
cuando el gusano se ejecuta crea varias entradas en el registro que agregan 5 botones en la barra de herramientas del internet explorer:
hkey_local_machine\software\microsoft\internet explorer\extensions\{fe5a1910-f121-11d2-be9e-01c04a7936b1} hkey_local_machine\software\microsoft\internet explorer\extensions\{fe5a1910-f121-11d2-be9e-01c04a7936b2} hkey_local_machine\software\microsoft\internet explorer\extensions\{fe5a1910-f121-11d2-be9e-01c04a7936b3} hkey_local_machine\software\microsoft\internet explorer\extensions\{fe5a1910-f121-11d2-be9e-01c04a7936b4} hkey_local_machine\software\microsoft\internet explorer\extensions\{fe5a1910-f121-11d2-be9e-01c04a7936b5} los botones son enlaces a la siguiente direcci?n url:
http:/ /www.google.com.super-fast-search.apsua.com
tambi?n modifica la p?gina de inicio y busqueda del internet explorer con las siguientes direcciones url:
p?gina de inicio:
http:/ /www.google.com.super-fast-search.apsua.com/fast-find.htm
p?gina de busqueda:
http:/ /www.google.com.super-fast-search.apsua.com/search.htm
adem?s el gusano descarga un archivo desde un determinado sitio en internet y lo copia dentro de:
c:\alpha.exe
finalmente verifica que exista creada la siguiente entrada en el registro:
hkey_current_user\software\microsoft\internet explorer\main
wh=yes
en caso no exista la crea, este sirve como una marca de infecci?n. |
