w32.womble.a@mm, worm_womble.a, w32/womble-a, email-worm.win32.womble.a, win32.womble.a, iworm i-worm.womble.a
tipo: gusano
tama?o: 79,360 bytes
origen: internet
destructivo: no en la calle (in the wild): si detección y eliminación: the hacker 5.9 y 6.0 al 30/08/2006.
descripción:
w32/womble.a , es un gusano que se difunde aprovech?ndose de una vulnerabilidad de microsoft y a trav?s de envi? masivo de e-mail, busca direcciones de e-mail dentro de archivos con las siguientes extensiones .adb, .asp, .dbx, .htm, .php, .sht, .tbb y .txt, para luego enviarse a si mismo a todas las direcciones encontradas.
caracter?sticas del mensaje de email:
asunto: [variable uno de los siguientes]
!! action beauty bush fifa hi important incredible!! info kiss kiss laura and john lola look at this!!! miss khan nataly ola olympus paula pics private pics re: re: re:hi re:info read this robert sex cuerpo: [variable uno de los siguientes]
ejemplo1 -----------------------------
zip p a s s : [aleatorio]
-----------------------------
ejemplo2 ---------------------------------------------------
there is some info in the attached file !!!
---------------------------------------------------
archivo adjunto: [variable uno de los siguientes]
new_picture.jpg.passw.zip about_windows.wmf.passw.zip firefox_update.pif.zip ----------------------------
cuando el gusano se ejecuta se copia a si mismo dentro de la carpeta de sistema con un nombre aleatorio:
system \[nombre original del archivo del gusano].exe tambi?n crea los siguientes archivos dentro de:
userprofile \local settings\application data\microsoft\wintools\dvd\firefox_update.pif userprofile \local settings\application data\microsoft\wintools\dvd\picture.jpg nota:
- system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32 ).
adem?s crea las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:
hkey_local_machine\software\microsoft\windows\currentversion\run
ms_net_update= system \[nombre original del archivo del gusano].exe
hkey_current_user\software\microsoft\windows\currentversion\run
ms_net_update= system \[nombre original del archivo del gusano].exe
tambi?n modifica las siguientes entradas en el registro
hkey_local_machine\system\currentcontrolset\services\lanmanserver\shares
dvd=cscflags=0
hkey_local_machine\software\winupdate
version=3
finalmente el gusano intenta difundirse a otras computadoras aprovech?ndose de la vulnerabilidad en el motor de gr?ficos de windows que permite ejecuci?n de c?digo remoto, descrito en el bolet?n de seguridad ms06-001
|
