Worm/Sober.P - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Sober.P
Descubierto:	02/05/2005
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Medio
Potencial de propagación:	Medio
Potencial dañino:	Medio
Fichero estático:	No
Tamaño:	53.554 Bytes
Versión del VDF:	6.30.00.151
Eurístico:	Worm/Sober.gen

General Método de propagación:
   • Correo electrónico

Alias:
   • Symantec: W32.Sober.O@mm
   • Mcafee: W32/Sober.p@MM
   • Kaspersky: Email-Worm.Win32.Sober.p
   • TrendMicro: WORM_SOBER.S
   • Sophos: W32/Sober-N
   • Panda: W32/Sober.V.worm!CME-456
   • Grisoft: I-Worm/Sober.P
   • Bitdefender: Win32.Sober.O@mm

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Descarga un fichero dañino
   • Suelta ficheros
   • Contiene su propio motor para generar mensajes de correo
   • Modificaciones en el registro

Inmediatamente después de su ejecución, muestra la siguiente información:

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\Connection Wizard\Status\csrss.exe
   • %WINDIR%\Connection Wizard\Status\smss.exe
   • %WINDIR%\Connection Wizard\Status\services.exe

Crea los siguientes ficheros:

– Copias codificadas MIME de si mismo:
   • %WINDIR%\Connection Wizard\Status\packed1.sbr
   • %WINDIR%\Connection Wizard\Status\packed2.sbr
   • %WINDIR%\Connection Wizard\Status\packed3.sbr

– Ficheros que contienen direcciones de correo recolectadas:
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\sacri1.ggg
   • %WINDIR%\Connection Wizard\Status\voner1.von
   • %WINDIR%\Connection Wizard\Status\voner2.von
   • %WINDIR%\Connection Wizard\Status\voner3.von

– Un fichero temporal, que puede ser eliminado después:
   • %WINDIR%\Connection Wizard\Status\kjfdmcge.ano

– %WINDIR%\Connection Wizard\Status\fastso.ber

Intenta descargar algunos ficheros:

La sincronización de tiempo mediante el protocolo NTP está incluida en el código del virus y se autoactiva en el siguiente momento:
Fecha: 10/05/2005

– Las direcciones son las siguientes:
   • http://free.pages.at/tllqjirbsi/**********
   • http://home.arcor.de/cqxecyrdhsi/**********
   • http://home.pages.at/vvhrcihcegtecf/**********
   • http://people.freenet.de/dscpxgtcufas/**********
   • http://people.freenet.de/hiigplbjat/**********
   • http://people.freenet.de/lqmjaveww/**********
   • http://people.freenet.de/xqzzvnnaxwiu/**********
   • http://people.freenet.de/ygdgyndzzbm/**********
   • http://scifi.pages.at/riwbagyixmzg/**********
Además, este fichero es ejecutado después de haber sido descargago. Los análisis adicionales indicaron que este fichero es también viral.

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "_WinStart"="c:\windows\\Connection Wizard\\Status\\services.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• " WinStart"="c:\windows\\Connection Wizard\\Status\\services.exe"

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:
El idioma del mensaje de correo enviado depende del TLD (Dominio de Alto Nivel - Top-Level-Domain).

De:
La dirección del remitente es falsa.
Direcciones generadas. Por favor no piense que ha sido la intención del remitente enviarle este mensaje de correo. Es posible que dicho remitente no esté al tanto de la infección o no esté infectado. Además, es posible que usted reciba mensajes devueltos, indicándole que está infectado. Esto también podría ser falso.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.

Asunto:
The subject of the email is constructed out of the (es)

    A veces empieza con:
   • FwD:

    Y luego una de las siguientes:
   • Glueckwunsch: Ihr WM Ticket
   • Ich bin's, was zum lachen ;)
   • Ihr Passwort
   • Ihre E-Mail wurde verweigert
   • Mail-Fehler!
   • mailing error
   • Re:
   • Registration Confirmation
   • WM Ticket Verlosung
   • WM-Ticket-Auslosung
   • Your email was blocked
   • Your Password

El cuerpo del mensaje:
El cuerpo del mensaje es uno de los siguientes:

   • Account and Password Information are attached!

   • Diese E-Mail wurde automatisch erzeugt
     Mehr Information finden Sie unter http://www.%nombre del dominio y dominio de nivel superior (TLD) desde la dirección del remitente%

     ----------
     Folgende Fehler sind aufgetreten:

     Fehler konnte nicht Explicit ermittelt werden

     End Transmission
     ----------

     Aus Datenschutzrechtlichen Gruenden, muss die vollstaendige E-Mail incl. Daten gezippt & angehaengt werden.
     Wir bitten Sie, dieses zu beruecksichtigen.

     Auto ReMailer
      [%el dominio del remitente desde la dirección de correo%]

   • Nun sieh dir das mal an!
     Was ein Ferkel ....

   • ok ok ok,,,,, here is it

   • Passwort und Benutzer-Informationen befinden sich in der beigefuegten Anlage.


     *-* http://www.%nombre del dominio y dominio de nivel superior (TLD) desde la dirección del remitente%
     *-* MailTo: PasswordHelp@%nombre del dominio y dominio de nivel superior (TLD) desde la dirección del remitente%

   • This is an automatically generated E-Mail Delivery Status Notification.

     Mail-Header, Mail-Body and Error Description are attached

   • Herzlichen Glueckwunsch,

     beim Run auf die begehrten Tickets für die 64 Spiele der Weltmeisterschaft 2006 in Deutschland sind Sie dabei.

     Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.

     Ihr "ok2006" Team
     St. Rainer Gellhaus


     --- FIFA-Pressekontakt:
     --- Pressesprecher Jens Grittner und Gerd Graus
     --- FIFA Fussball-Weltmeisterschaft 2006
     --- Organisationskomitee Deutschland
     --- Tel. 069 / 2006 - 2600
     --- Jens.Grittner@ok2006.de
     --- Gerd.Graus@ok2006.de

A veces seguido por:

   • Visit: http://www.%nombre del dominio y dominio de nivel superior (TLD) desde la dirección del remitente%

A veces continuando con una de las siguientes:

   • **** AntiVirus-System: Kein Virus erkannt
     **** "%el dominio del destinatario desde la dirección de correo%" AntiVirus Service
     **** WebSite: http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

   • *** AntiVirus: No Virus found
     *** "%el dominio del destinatario desde la dirección de correo%" Anti-Virus
     *** http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

   • *** Server-AntiVirus: No Virus (Clean)
     *** "%el dominio del destinatario desde la dirección de correo%" Anti-Virus
     *** http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

   • *** Attachment-Scanner: Status OK
     *** "%el dominio del destinatario desde la dirección de correo%" Anti-Virus
     *** http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

   • **** AntiVirus: Kein Virus gefunden
     **** "%el dominio del destinatario desde la dirección de correo%" AntiVirus Service
     **** WebSite: http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

   • **** Mail-Scanner: Es wurde kein Virus festgestellt
     **** "%el dominio del destinatario desde la dirección de correo%" AntiVirus Service
     **** WebSite: http://www.%Nombre del dominio y dominio de nivel superior (TLD) desde la dirección del destinatario%

Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • account_info.zip
   • account_info-text.zip
   • autoemail-text.zip
   • error-mail_info.zip
   • Fifa_Info-Text.zip
   • LOL.zip
   • mail_info.zip
   • okTicket-info.zip
   • our_secret.zip
   • %el dominio del remitente desde la dirección de correo%_PassWort-Info.zip

El adjunto es un archivo que contiene una copia del programa viral.

Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • .abc; .abd; .abx; .adb; .ade; .adp; .adr; .asp; .bak; .bas; .cfg;
      .cgi; .cls; .cms; .csv; .ctl; .dbx; .dhtm; .doc; .dsp; .dsw; .eml;
      .fdb; .frm; .hlp; .imb; .imh; .imm; .inbox; .ini; .jsp; .ldb; .ldif;
      .log; .mbx; .mda; .mdb; .mde; .mdw; .mdx; .mht; .mmf; .msg; .nab;
      .nch; .nfo; .nsf; .nws; .ods; .oft; .php; .phtm; .pl; .pmr; .pp; .ppt;
      .pst; .rtf; .shtml; .slk; .sln; .stm; .tbb; .txt; .uin; .vap; .vbs;
      .vcf; .wab; .wsh; .xhtml; .xls; .xml

Creación de direcciones para el campo DE (remitente):
Para generar direcciones, emplea los siguientes textos:
   • FIFA
   • Gewinn
   • fifa
   • WM-Ticket
   • OK2006
   • Ticket
   • Verlosung
   • Administrator

Emplea el mismo listado de dominios mencionado anteriormente.

El dominio es uno de los siguientes:
   • ok2006.de
   • fifa.de
Para generar direcciones, emplea los siguientes textos:
   • service
   • webmaster
   • register
   • hostmaster
   • postmaster
   • Admin
   • info

Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • -dav; .dial.; .kundenserver.; .ppp.; .qmail@; .sul.t-; @arin; @avp;
      @ca.; @example.; @foo.; @from.; @gmetref; @iana; @ikarus.; @kaspers;
      @messagelab; @nai.; @panda; @smtp.; @sophos; @www; abuse; announce;
      antivir; anyone; anywhere; bellcore.; bitdefender; clock; detection;
      domain.; emsisoft; ewido.; free-av; freeav; ftp.; gold-certs; google;
      host.; icrosoft.; ipt.aol; law2; linux; mailer-daemon; mozilla;
      mustermann@; nlpmail01.; noreply; nothing; ntp-; ntp.; ntp@; office;
      password; postmas; reciver@; secure; service; smtp-; somebody;
      someone; spybot; sql.; subscribe; support; t-dialin; t-ipconnect;
      test@; time; user@; variabel; verizon.; viren; virus; whatever@;
      whoever@; winrar; winzip; you@; yourname

Informaciones diversas Sincronización del tiempo:
Para sincronizar la hora del sistema, se conecta en el puerto 37 a los servidores NTP:
   • ntp.massayonet.com.br
   • ntp.metas.ch
   • ntp.pads.ufrj.br
   • ntp1.arnes.si
   • ntp-2.ece.cmu.edu
   • ntp3.fau.de
   • ntp-sop.inria.fr
   • Rolex.PeachNet.edu
   • rolex.usg.edu
   • sundial.columbia.edu
   • time.nist.gov
   • time.xmission.com
   • time-a.timefreq.bldrdoc.gov

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en Visual Basic.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
• UPX

Para una breve descripción vea el resumen aquí.

Descripción insertada por Andrei Ivanes el Fri, 07 Apr 2006 17:40 (GMT+1)
Descripción actualizada por Andrei Ivanes el Wed, 12 Apr 2006 09:55 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver