Worm/Scano.V.1 - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Scano.V.1
Descubierto:	08/05/2006
Tipo:	Gusano
En circulación (ITW):	Sí
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	18.076 Bytes
Suma de control MD5:	1816a91ced99d800888153ca080D20f7
Versión del VDF:	6.34.01.46
Versión del IVDF:	6.34.01.47

General Método de propagación:
   • Correo electrónico

Alias:
   • Symantec: W32/Areses.h
   • Kaspersky: Email-Worm.Win32.Scano.v
   • TrendMicro: WORM_ARESES.AC
   • Sophos: W32/Areses-L
   • Eset: Win32/Scano.NAG
   • Bitdefender: Win32.Scano.S@mm

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Descarga ficheros
   • Contiene su propio motor para generar mensajes de correo
   • Modificaciones en el registro

Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %WINDIR%\csrss.exe

Se copia a sí mismo en un archivo en la siguiente ubicación:
   • %TEMPDIR%\Message.zip

Intenta descargar algunos ficheros:

– La dirección es la siguiente:
   • http://207.46.250.119/g/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://www.microsoft.com/g/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

– La dirección es la siguiente:
   • http://84.22.161.192/s/**********
Al realizar esta descripción, dicho fichero no estaba disponible para análisis adicionales.

Intenta ejecutar los ficheros siguientes:

– Ejecuta uno de los ficheros siguientes:
   • %SYSDIR%\services.exe
Ejecuta el fichero con los parámetros siguientes: %WINDIR%\csrss.exe
Empleado para ocultar el proceso en el Administrador de tareas.

– Ejecuta uno de los ficheros siguientes:
   • %SYSDIR%\svchost.exe
Ejecuta el fichero con los parámetros siguientes: %WINDIR%\csrss.exe

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\explorer.exe
   • "Debugger"="%WINDIR%\csrss.exe"

Elimina del registro de Windows los valores de las siguientes claves:

– HKLM\SYSTEM\ControlSet002\Control\Session Manager\
   PendingFileRenameOperations
– HKLM\SYSTEM\ControlSet002\Control\Session Manager\BootExecute

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:

De:
La dirección del remitente es falsa.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.
– Direcciones de correo recolectadas de WAB (La libreta de direcciones de Windows - Windows Address Book)

Asunto:
Uno de los siguientes:
   • Приветик, как твои дел?
   • ЙЫЛЙ?
   • Привет, ты где?
   • Привет, напиши мне!!!
   • Привет! Срочно напиши м!
   • не!
   • дешь?
   • Re: напиши мне!
   • Re: Позвони мне!
   • Re: Ты где?
   • Re: Когда ты мне ответиш
   • Re: Как настроение?
   • Re: Где пропадаешь?

El cuerpo del mensaje:
– En algunos casos puede estar vacío.
El cuerpo del mensaje de correo es uno de los siguientes:
   • Привет! Я сегодня жду те
   • Сегодня в интернете бу
   • Когда мне напишишь?
   • Приветик!!! Как настроен

Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • Message.zip
   • File.zip
   • Document.zip
   • README.zip
   • Passwords.zip
   • Readme.zip
   • Important.zip
   • New.zip
   • COOL.zip
   • Archive.zip
   • Fotos.zip
   • private.zip
   • confidential.zip
   • secret.zip
   • images.zip
   • your_documents.zip
   • backup.zip

El adjunto es un archivo que contiene una copia del programa viral.

Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • .adb; .asp; .cfg; .cgi; .mra; .dbx; .dhtm; .eml; .htm; .html; .jsp;
      .mbx; .mdx; .mht; .mmf; .msg; .nch; .ods; .oft; .php; .pl; .sht;
      .shtm; .stm; .tbb; .txt; .uin; .wab; .wsh; .xls; .xml; .dhtml

Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • @microsoft; rating@; f-secur; news; update; .qmail; .gif; anyone@;
      bugs@; contract@; feste; gold-certs@; help@; info@; nobody@; noone@;
      0000; Mailer-Daemon@; @subscribe; kasp; admin; icrosoft; support;
      ntivi; unix; bsd; linux; listserv; certific; torvalds@; sopho; @foo;
      @iana; free-av; @messagelab; winzip; google; winrar; samples; spm111@;
      .00; abuse; panda; cafee; spam; pgp; @avp.; noreply; local; root@;
      postmaster@

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Irina Boldea el Mon, 30 Oct 2006 11:31 (GMT+1)
Descripción actualizada por Irina Boldea el Thu, 02 Nov 2006 16:13 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver