|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Myparty. ¡Cuidado! www.myparty.yahoo.com no es un Web | ||
|---|---|---|
VSantivirus No. 570 - Año 6 - Lunes 28 de enero de 2002 VSantivirus No. 571 - Año 6 - Martes 29 de enero de 2002 W32/Myparty. ¡Cuidado! www.myparty.yahoo.com no es un Web Nombre: W32/Myparty Tipo: Gusano de Internet Alias: WORM_MYPARTY.A, MYPARTY.A, MYPARTY, W32.Myparty@mm, W32/MyParty-A, W32/Myparty@mm Plataforma: Windows Tamaño: 29,696 Bytes (comprimido con UPX) Fecha: 27/ene/02 W32/Myparty no es un gusano muy diferente a los demás. Un ejecutable programado en Visual C++, de un tamaño de 29,696 bytes, adjunto a un mensaje que, en inglés anuncia unas nuevas fotos de una supuesta fiesta. Lo curioso, es que el texto menciona que las mismas están en un sitio Web, y se nos muestra el nombre del sitio con el enlace correspondiente. Si usted ve este nombre www.myparty.yahoo.com, hacer doble clic sobre él es cuestión del tiempo que le lleve apuntar con el cursor del mouse el enlace, ¿no?... Pues, grave error, un truco tan sencillo que nos preguntamos porqué no fue explotado antes, nos espera como sorpresa a nuestro irresponsable acto de abrir adjuntos que no solicitamos. Porque tal vez usted y yo, nos demos cuenta que es un enlace, un archivo con extensión .COM, disfrazado como dirección de Internet con el agregado del WWW.MYPARTY.YAHOO. Pero sin dudas, la mayoría hará doble clic a pesar de los mensajes que puedan aparecer. No me extrañaría que aparecieran otros gusanos con enlaces tan "atractivos" como www.britney-spears-desnuda.com por ejemplo. ¿Qué apostamos?. Las posibilidades son infinitas, y nos extraña que el "truco" lo hayamos visto solo en uno o dos virus hasta ahora, los que pasaron sin pena ni gloria. En el caso del W32/Myparty, parece haber dado más resultado, según revelan las principales casas antivirus, de acuerdo a la cantidad de reportes de infección hasta ahora. Para Denos Zenkin de los laboratorios Kaspersky, "esto confirma una vez más que no todo lo que empieza con WWW. ni lo que termina con .COM es un sitio Web". El gusano posee además, algunas rutinas que lo hacen de cuidado, la más importante la gran capacidad de propagación. Si la fecha del sistema está entre el 25 y el 29 de enero de 2002, el virus lanza sus rutinas de instalación y propagación. Pero además, el virus examina el sistema en que se instala, y si detecta el soporte para el idioma ruso, simplemente termina su acción sin hacer nada más. Cuando se instala, el gusano es capaz de enviarse a si mismo a las direcciones recogidas de la libreta de direcciones de Windows, y las extraídas de las bases de mensajes .DBX del Outlook Express. El gusano crea una conexión directa con un servidor SMTP remoto y discretamente, con los datos del usuario de la computadora infectada, envía sus copias a las direcciones recogidas antes. Como confirmación de la infección, el virus también envía un mensaje (pero limpio, sin virus) a la dirección napster@gala.net. Como efecto colateral, si la computadora atacada tiene Windows NT, 2000 o XP, el gusano instala un programa espía con posibilidades de control remoto sin la autorización del usuario afectado. Esto hace que un intruso pueda llegar a obtener el control total de la computadora infectada. Por otra parte, dependiendo de ciertas condiciones, W32/Myparty, puede abrir la dirección http://www.disney.com en la ventana actual del navegador. Descripción El gusano, está comprimido con la utilidad UPX, y ha sido creado en Visual C++. Incorpora en su código, una servidor SMTP que usa para enviarse a si mismo a todas las direcciones recogidas como ya vimos antes, de la libreta de Windows (.WAB) y de las bases de mensajes del Outlook Express (.DBX). Llega en un mensaje con las siguientes características:
Cuando el usuario hace doble clic sobre el enlace (pensando se trata de una página Web), ejecuta el código del virus, un ejecutable
.COM de 26 Kb.
2. Obtiene la ubicación de la libreta de direcciones de Windows (Windows Address Book, .WAB), de la siguiente clave:
3. Obtiene la ubicación de la base de mensajes del Outlook Express de la siguiente clave:
Luego, se copia a si mismo en esta ubicación:
Si el virus se ejecutó desde un e-mail infectado, es movido al directorio Recycled o Recycler, con los siguientes nombres:
donde [número] serán números de cinco cifras, seleccionados al azar
Si el gusano encuentra instalado el soporte para teclado ruso
(0419), entonces se copia a si mismo en las carpetas Recycled o
Recycler, y sale sin hacer nada más.
Esto asegura que el backdoor sea ejecutado cada vez que el sistema operativo se inicie, quedando residente en memoria.
Cómo borrar manualmente el virus |
||
