Nombre:Worm/NetSky.#1
Descubierto:05/04/2004
Tipo:Gusano
En circulación (ITW):No
Número de infecciones comunicadas:Bajo
Potencial de propagación:Medio
Potencial dañino:Bajo
Fichero estático:Sí
Tamaño:18.432 Bytes
Suma de control MD5:ff05ddc00C74ef41157a2552af455e59
Versión del VDF:6.24.00.87

 General Método de propagación:
   • Correo electrónico


Alias:
   •  Symantec: W32.Netsky.T@mm
   •  Mcafee: W32/Netsky.t@MM
   •  Kaspersky: Email-Worm.Win32.NetSky.t
   •  TrendMicro: WORM_NETSKY.T
   •  F-Secure: W32/Netsky.T@mm
   •  Sophos: W32/Netsky-T
   •  Grisoft: I-Worm/Netsky.T
   •  VirusBuster: iworm I-Worm.Netsky.U
   •  Bitdefender: Win32.NetSky.T@mm


Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Contiene su propio motor para generar mensajes de correo
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %WINDIR%\EasyAV.exe



Crea el siguiente fichero:

– Copia codificada MIME de si mismo
   • %WINDIR%\uinmzertinmds.opm

 Registro La siguiente clave del registro se encuentra en un bucle infinito, añadido para ejecutar el proceso al reiniciar el sistema.

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "EasyAV"="%WINDIR%\EasyAV.exe"

 Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:


De:
La dirección del remitente es falsa.


Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.


Asunto:
El tema del correo se ha creado con lo siguiente:

    A veces empieza con:
   • Re:

    Y luego una de las siguientes:
   • Important
   • My details
   • Your information
   • Your details
   • Your document
   • Request
   • Thank you!
   • Approved
   • Hello
   • account
   • postcard
   • sample
   • developement
   • concept
   • story
   • report
   • icq number
   • e-mail
   • phone number
   • personal message
   • photo document
   • order
   • important document
   • diggest
   • final version
   • release
   • answer
   • bill
   • notice
   • requested document
   • description
   • summary
   • picture document
   • movie document
   • approved document
   • old document
   • document
   • mail
   • letter
   • homepage
   • detailed document
   • powerpoint document
   • excel document
   • word document
   • info
   • information
   • text
   • new document
   • textfile
   • user list
   • improved file
   • secound document
   • file
   • number list
   • contact list
   • message
   • note
   • improved document
   • details
   • instructions
   • presentation document
   • abuse list
   • archive
   • corrected document
   • list
   • approved file


El cuerpo del mensaje:
El cuerpo del mensaje es uno de los siguientes:

   • Hello!

   • Hi!


A veces continuando con una de las siguientes:

   • Your file is attached to this mail.

   • Please read the attached document.

   • Please have a look at the attached document.

   • See the document for details.

   • Here is the document.

   • Note that I have attached your document.

   • I have spent much time for your document.

   • Please notice the attached document.

   • My %el substituto 1% is attached.

   • Your %el substituto 1% is attached

   • I have found the %el substituto 1%

   • Please notice the attached %el substituto 1%

   • I have spent much time for the %el substituto 1%

   • Please read quickly.

   • For more details see the attached document.

   • For more information see the attached document.

   • Approved, here is the document.

   • The requested %el substituto 1% is attached!

   • I have sent the %el substituto 1% .

   • Please see the %el substituto 1% .

   • The %el substituto 1% is attached.

   • Here is the %el substituto 1% .

   • Please have a look at the %el substituto 1% .

   • Please read the %el substituto 1% .

   • Please, %el substituto 1% .

   • My %el substituto 1% .

   • The %el substituto 1% .

   • Your %el substituto 1% .


A veces continuando con una de las siguientes:

   • Yours sincerely
     

   • Thank you
     

   • Thanks


%el substituto 1% puede ser extendido a uno de los siguientes:
   • account; postcard; sample; developement; concept; story; report; icq
      number; e-mail; phone number; personal message; photo document; order;
      important document; diggest; final version; release; answer; bill;
      notice; requested document; description; summary; picture document;
      movie document; approved document; old document; document; mail;
      letter; homepage; detailed document; powerpoint document; excel
      document; word document; info; information; text; new document;
      textfile; user list; improved file; secound document; file; number
      list; contact list; message; note; improved document; details;
      instructions; presentation document; abuse list; archive; corrected
      document; list; approved file; report


Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • account%número%.pif; postcard%número%.pif;
      sample%número%.pif; developement%número%.pif;
      concept%número%.pif; story%número%.pif;
      report%número%.pif; icq_number%número%.pif;
      e-mail%número%.pif; phone number%número%.pif;
      personal_message%número%.pif;
      photo_document%número%.pif; order%número%.pif;
      important_document%número%.pif; diggest%número%.pif;
      final_version%número%.pif; release%número%.pif;
      answer%número%.pif; bill%número%.pif;
      notice%número%.pif; requested_document%número%.pif;
      description%número%.pif; summary%número%.pif;
      picture_document%número%.pif;
      movie_document%número%.pif;
      approved_document%número%.pif;
      old_document%número%.pif; document%número%.pif;
      mail%número%.pif; letter%número%.pif;
      homepage%número%.pif; detailed_document%número%.pif;
      powerpoint_document%número%.pif;
      excel_document%número%.pif; word_document%número%.pif;
      info%número%.pif; information%número%.pif;
      text%número%.pif; new_document%número%.pif;
      textfile%número%.pif; user_list%número%.pif;
      improved_file%número%.pif;
      secound_document%número%.pif; file%número%.pif;
      number_list%número%.pif; contact_list%número%.pif;
      message%número%.pif; note%número%.pif;
      improved_document%número%.pif; details%número%.pif;
      instructions%número%.pif;
      presentation_document%número%.pif;
      abuse_list.%número%.pif; archive%número%.pif;
      corrected_document%número%.pif; list%número%.pif;
      approved_file%número%.pif

El archivo adjunto es una copia del propio programa malicioso.


 Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • ppt; nch; mmf; mht; xml; wsh; jsp; xls; stm; ods; msg; oft; sht; html;
      htm; pl; dbx; tbb; adb; dhtm; cgi; shtm; uin; rtf; vbs; doc; wab; asp;
      mdx; mbx; cfg; php; txt; eml

 Backdoor (Puerta trasera) Abre el siguiente puerto:

– %ficheros ejecutados% en el puerto TCP 6789

 DoS (Denegación de Servicios)  el 14/04/2004 hasta 17/04/2004 inicia ataques DoS en las siguientes destinaciones:
   • www.keygen.us
   • www.freemule.net
   • www.kazaa.com
   • www.emule.de
   • www.cracks.am

 Informaciones diversas Objeto mutex:
Crea los siguientes objetos mutex:
   • SyncMutex_USUkUyUnUeUtU
   • Protect_USUkUyUnUeUtU_Mutex


Serie de caracteres:
Además, incluye la siguiente serie de caracteres:
   • Now we have programmed our backdoor, it cannot be used for spam relaying, only for Skynet distribution, our advice: educate the users or update the smtp protocol, and heuristics cannot detect Skynet, becauses numerous scambler, compressors, and protectors exists including programming new features. Thanks to russia, and thanks to CCC for support. 09:34 A.M, Russia

 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en MS Visual C++.


Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
   • UPX

Descripción insertada por Ionut Slaveanu el jueves 4 de mayo de 2006
Descripción actualizada por Cosmin Ancuta el viernes 5 de mayo de 2006

Volver . . . .