1.jpg
2.jpg
3.jpg
4.jpg
5.jpg
[etc...]

Texto:

[vacío]
Account update

Datos adjuntos: [uno de los siguientes]

1.gif
2.gif
3.gif
4.gif
5.gif
[etc...]

En ocasiones no existe archivo adjunto. Cuando existe, el archivo no contiene código malicioso (tampoco se trata en realidad de una imagen), y es totalmente inofensivo.

El cuerpo del mensaje puede parecer en blanco (si se tiene la vista en modo HTML), pero contiene el código para explotar una vulnerabilidad del Internet Explorer que permite la descarga de una página en un sitio remoto, la cuál es detectada como CHM/Psyme.N.

Se trata de un archivo CHM (los archivos CHM son HTMLs compilados, normalmente ejecutados por el visor de la ayuda de Windows), generalmente descargado como DEFAULT.CHM.

Este archivo utiliza un exploit publicado como prueba de concepto, que al ser abierto, permite la ejecución de un código en JavaScript detectado como JS/Psyme.N. Este exploit funciona solo en Windows NT, 2000 y XP.

El código en JavaScript incluido en DEFAULT.HTM, toma ventaja del exploit para la vulnerabilidad ADODB.STREAM para descargar de Internet un archivo generalmente llamado DEFAULT.EXE (detectado como Troj/Agent.EK o Troj/Agent.CJ), que se copia como WMPLAYER.EXE, sobrescribiendo automáticamente el archivo del mismo nombre si se encuentra en cualquiera de las siguientes ubicaciones de la máquina infectada:

C:\Programmer\Windows Media Player\
C:\Program\Windows Media Player\
C:\Programme\Windows Media Player\
C:\Programmi\Windows Media Player\
C:\Programfiler\Windows Media Player\
C:\Programas\Windows Media Player\
C:\Archivos de programa\Windows Media Player\
C:\Program Files\Windows Media Player\

Aunque el exploit que descarga y ejecuta a este troyano, solo funciona en Windows NT, 2000 y XP, el script y el propio troyano pueden ejecutarse en cualquier otro Windows.

Las vulnerabilidades explotadas están descriptas en los siguientes boletines de Microsoft:

MS03-032 Actualización acumulativa para IE (822925)
http://www.vsantivirus.com/vulms03-032.htm

MS03-040 Actualización acumulativa para IE (828750)
http://www.vsantivirus.com/vulms03-040.htm


Relacionados:

Exploit/ObjectData. Intenta descargar y ejecutar código
http://www.vsantivirus.com/exploit-objectdata.htm

CHM/Psyme.N. Intenta descargar y ejecutar troyano
http://www.vsantivirus.com/chm-psyme-n.htm

Troj/Agent.EK. Finaliza antivirus, descarga código
http://www.vsantivirus.com/troj-agent-ek.htm

Troj/Agent.CJ. Finaliza antivirus, descarga código
http://www.vsantivirus.com/troj-agent-cj.htm


Solución

Reinstalar el reproductor de Windows Media (Windows Media Player) si fuera necesario.

Descargar los parches acumulativos de Internet Explorer y Outlook Express

Se sugiere configurar el Internet Explorer como se indica en el siguiente artículo:

Configuración personalizada para hacer más seguro el IE
http://www.vsantivirus.com/faq-sitios-confianza.htm


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrar archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet haga clic en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


Información adicional

Todo sobre ADODB.Stream y como proteger su PC
http://www.vsantivirus.com/faq-adodbstream.htm


Instalar parche acumulativo de Outlook Express

Para protegerse de las vulnerabilidades que explota este troyano/gusano, instale el último parche acumulativo de Outlook Express:

MS04-018 Parche acumulativo para Outlook Express (823353)
http://www.vsantivirus.com/vulms04-018.htm


Instalar parche acumulativo de Internet Explorer

Para protegerse de las vulnerabilidades que explota este troyano/gusano, instale el último parche acumulativo de Internet Explorer:

MS04-025 Actualización acumulativa para IE (867801)
http://www.vsantivirus.com/vulms04-025.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

30/08/04 - 21:01 -0300 (Troj/Agent.CJ)



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com