Worm/Zafi.E - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Zafi.E
Descubierto:	26/09/2005
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Medio-bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	15.367 Bytes
Suma de control MD5:	0DA379936D9B8EE36EE77CBC3B9C74B7
Versión del VDF:	6.32.0.41

General Métodos de propagación:
   • Correo electrónico
   • Peer to Peer

Alias:
   • Kaspersky: Email-Worm.Win32.Zafi.e
   • TrendMicro: WORM_ZAFI.E
   • Bitdefender: Win32.Zafi.E@mm

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Desactiva los programas de seguridad
   • Contiene su propio motor para generar mensajes de correo
   • Reduce las opciones de seguridad
   • Modificaciones en el registro

Inmediatamente después de su ejecución, muestra la siguiente información:

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %SYSDIR%\Symantec_Update-%varios números aleatorios entre 0 - 9%.exe
   • %SYSDIR%\%varios números aleatorios entre 0 - 9%Z.dll

Elimina la copia inicial del virus.

Crea los siguientes ficheros:

– Un fichero que contiene las direcciones de correo recolectadas:
   • %SYSDIR%\%varios números aleatorios entre 0 - 9%Z.dll

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "__ZF5"="%SYSDIR%\Symantec_Update-%varios números aleatorios entre 0 - 9%.exe"

Añade la siguiente clave al registro:

– [HKLM\SOFTWARE\Microsoft\__ZF5]
   • "%serie de caracteres aleatorios de dos dígitos%"=dword:00000100
   • "%serie de caracteres aleatorios de dos dígitos%"="%dirección de correo del remitente%"
   • "%serie de caracteres aleatorios de dos dígitos%"="%nombre de usuario de la cuenta de correo% "
   • "%serie de caracteres aleatorios de dos dígitos%"="%SYSDIR%\%varios números aleatorios entre 0 - 9%Z.dll"
   • "%serie de caracteres aleatorios de dos dígitos%"="%ejecutable aleatorio del sistema operativo%"

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:
El idioma del mensaje de correo enviado depende del TLD (Dominio de Alto Nivel - Top-Level-Domain).

De:
La dirección del remitente es falsa.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.

Asunto:
Uno de los siguientes:
   • Star Wars Greeting
   • MSN Postcard
   • Greeting from neptun.ru
   • MSN.RU Postcard
   • Una Star Wars cartolina per te da regione.it
   • Cartolina Digitale
   • Une Star Wars carte pour vous
   • Confidental
   • e-udvozlet
   • megasztar
   • e-pohlednice
   • Elektronickou Star Wars
   • e-postkarte
   • Star Wars
   • Electronisch Star Wars
   • E-kaartje
   • Has recibido una tarjeta en neptun.mx
   • e-tarjeta
   • Star Wars
   • e-kort

El cuerpo del mensaje:
– Contiene código HTML.
El cuerpo del mensaje es uno de los siguientes:

   • STAR WARS

Continuando con una de las siguientes:

   • Hi there

     There's a star wars postcard waiting for you, from %nombre de usuario de la cuenta de correo%.
     Just click the link below to pick up your personal message:
     %nombre de archivo adjunto sin extensión%.jpg

     (If you cannot view the image by clicking on the link, copy and paste
     the attachment picture into your browser).

     Best regards: http://www.jedinet.com

   • Здравствуйте,

     Вам пришла открытка!
     Вы можете получить ее по адресу
     %nombre de archivo adjunto sin extensión%.jpg

     Код для получения открытки 10025412 Открытка может быть получена любым графическим браузером в течение 1 месяца с момента получения этого сообщения.

   • Ciao

     %nombre de usuario de la cuenta de correo% ti ha inviato una cartolina digitale dal nostro sito.
     Per visualizzare la cartolina è sufficiente cliccare questo link:
     %nombre de archivo adjunto sin extensión%.jpg

     Nel caso dovessi avere problemi nel visualizzare la tua cartolina, può
     essere che i giorni a disposizione siano scaduti, è comunque possibile
     fare una prova a questo indirizzo: www.regione.it

   • Bonjour

     %nombre de usuario de la cuenta de correo% a crée une 'star wars' carte specialement pour vous, et vous l'a envoyée le %fecha actual%.
     La carte sera sauvgardée pendant 10 jours. Veuillez la recupérer dans les 10 jours avant qu'elle expire.
     Cliquer sur ce lien pour voir votre e-carte:
     %nombre de archivo adjunto sin extensión%.jpg

     Alternativement vous pouvez lui envoyer une autre carte gratuitement sur www.smartweb.fr

   • Kedves Felhasználó

     %nombre de usuario de la cuenta de correo% elektronikus üdvözlõlapot küldött Önnek!
     Megtekintéséhez kattintson a mellékelt kép hivatkozására, vagy másolja be
     a böngészõ (Internet Explorer, Netscape Navigator, Mozilla, stb.) címsorába!
     %nombre de archivo adjunto sin extensión%.jpg

     A már kézbesített lapokat 3 hétig õrizzük meg!
     http://www.tv2.hu

   • Dobrý den

     Dostáváte tento email, protoe Vám %nombre de usuario de la cuenta de correo%,
     poslal(a) elektronickou `star wars` pohlednici. Vae pohlednice je uloena na
     serveru centrum.cz a mùete si ji vyzvednout na adrese:
     %nombre de archivo adjunto sin extensión%.jpg

     Tuto pohlednici budeme archivovat po dobu 30-ti dnù. Doufáme, e se Vám
     bude líbit. :-)

     Nejvetsi vyber plakatu na http://www.centrum.cz

   • Hallo

     %nombre de usuario de la cuenta de correo% hat Ihnen eine Star Wars Postkarte geschickt!
     Ihre Postkarte wurde am %date% versendet und ist für 10 Tage gespeichert.
     Sie können Sie unter folgender URL ansehen:
     %nombre de archivo adjunto sin extensión%.jpg

     Mit freundlichen Grüßen,

     Free eCards - Grusskarte senden - send a free eCard
     Powered by http://www.deutschepost.de

   • Hallo

     Je hebt een electronisch kaartje ontvangen van %nombre de usuario de la cuenta de correo%
     Je kunt je persoonlijke kaartje bekijken door naar het
     volgende internet adreste gaan:
     %nombre de archivo adjunto sin extensión%.jpg

     We hebben vele 100-en kaartjes in allerlei categoriën.
     Natuurlijk kan ook jij een kaartje sturen, ga naar
     http://www.fonztv.nl

   • ¡Hola

     Hay una tarjeta disponible en Neptun.mx de parte de %nombre de usuario de la cuenta de correo%.
     Para verla, hacer click en el siguiente enlace:
     %nombre de archivo adjunto sin extensión%.jpg

     Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
     en todo momento durante la vigencia de tu membresía; si no lo eres,
     estará disponible dos semanas a partir de la fecha en que la envíes.

   • Hello

     %nombre de usuario de la cuenta de correo% har send eit kort til deg.
     Du kan henta kortet ditt på
     %nombre de archivo adjunto sin extensión%.jpg

     og skriva inn kortnummer 214 og passord 5016.

Y a continuación:

   • ImageSize: 15Kb V
     Virus & Spam Scan: V

Archivo adjunto:
El nombre del fichero adjunto está compuesto de los siguientes elementos:

– Empieza por uno de los siguientes:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort
   • dscn
   • post

Y luego una de las siguientes:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort

    Seguida por:
   • show%serie de caracteres aleatorios de cuatro dígitos%
   • index%serie de caracteres aleatorios de cuatro dígitos%
   • imag%serie de caracteres aleatorios de cuatro dígitos%
   • wars%serie de caracteres aleatorios de cuatro dígitos%
   • pict%serie de caracteres aleatorios de cuatro dígitos%
   • dscn%serie de caracteres aleatorios de cuatro dígitos%
   • post%serie de caracteres aleatorios de cuatro dígitos%

    La extensión del fichero es una de las siguientes:
   • .zip

Algunos ejemplos de nombres de los ficheros adjuntos:
   • lnk.cart.index1650.zip
   • galerij.show.wars3765.zip
   • pict.index.post4325.zip
   • lnk.grusskarte.pict8074.zip

El archivo adjunto es una copia del propio programa malicioso.

El mensaje de correo puede tener una de las siguientes formas:

Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • .htm; .wab; .txt; .dbx; .tbb; .asp; .php; .sht; .adb; .mbx; .eml;
      .pmr; .fpt; .inb

Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • google; sale; service; info; help; admi; webm; micro; msn; hotm;
      suppor; soft.; zonela

Prefijar los dominios de las direcciones de correo:
Para obtener la dirección IP del servidor de correo, añade los siguientes prefijos al nombre del dominio:
   • mail.; smtp.; mx.; fmx.; matav-1.; gold.; matav-2.; domser.; suli2.;
      matav-4.; gemini.; goliat2.; webmail.; postman.; huasmtp01.;
      mailin02.sul.; mail4u.; Mmx-ha01.web.; Mmx2.mail.; smtp-in.;
      Mmail.wxs.; box-05.; mail-mx-00.; smtp01.; smtp03.; pop.; Mmx.is.;
      debian-mx1.; mrelay1-2.; smtpB1.; maury.; newken.; blackhole.; Mmail.;
      mail-mx-3.; mxrm.; mbox.; pweb.; mail-kr3.; mail-kr4.; mailserver.;
      mx-a.mail.; mailin-01.mx.; mxs.; office.; cscmail.; Mrelay2.

P2P Para infectar otros sistemas de las redes Peer-to-Peer, realiza las siguientes operaciones:   Busca directorios que contengan una de las siguientes subseries de caracteres:
   • "share"
   • "upload"
   • "music"
   • "startup"

   Al tener éxito, crea los siguientes ficheros:
   • Adobe Acrobat 8.0.exe
   • Divx Player 7.0.exe

Finalización de los procesos Listado de los procesos finalizados:
   • nmain.exe; Luall.exe; nod32.exe; gcasDtServ.exe; nod32krn.exe;
      nod32kui.exe; AVLTMAIN.EXE; MRT.exe; gcasServ.exe; avginet.exe;
      inetupd.exe; fpavupdm.exe; Updater.exe; pcclient.exe; F-StopW.exe;
      drwebupw.exe; QH32.EXE; QHM32.EXE; LIVEUP.exe; savmain.exe;
      savprogess.exe; nod32.exe; bdmcon.exe; bdlite.exe; McUpdate.exe;
      mcmnhdlr.exe; VBInstTmp.exe; vbcmserv.exe; vbcons.exe; fspex.exe

Informaciones diversas Para buscar una conexión a Internet, contacta el siguiente sitio web:
• microsoft.com

Objeto mutex:
Crea el siguiente objeto mutex:
• __ZF5

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Andrei Gherman el Mon, 26 Sep 2005 14:56 (GMT+1)
Descripción actualizada por Andrei Ivanes el Mon, 26 Sep 2005 17:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver