Email-Worm.JS.Sigbug

Detalles técnicos

Este programa malicioso es un gusano de correo electrónico HTML. Se envía a todas las direcciones de correo electrónico en la libreta de direcciones. El 31 de mayo, el gusano desactivará la interfaz gráfica de usuario en los sistemas Win9x. Tiene un tamaño de 1,889 bytes. Está escrito en JavaScript.

Instalación

Al instalar, el gusano se copia en la máquina de la víctima con el siguiente nombre:

 C: Recycledstacey.htm 

Carga útil

El gusano se sustituye por la firma del mensaje en los mensajes enviados a través de Outlook Express instalando las siguientes claves:

1. Permite el uso de firmas de archivos externos:
   [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0]
   "Signature Flags" = "3"
2. Configura Outlook Express para utilizar una firma predeterminada definida como "00000000":
   [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures]
   "Firma predeterminada" = "00000000"
3. Instala un registro del sistema que hace posible que la firma "00000000" se cargue desde el archivo de gusano:
   [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures 0000000]
   "nombre" = "Firma # 1"
   "tipo" = "2"
   "texto" = ""
   "archivo" = "C: RECYCLEDSTACEY.HTM"

   El gusano usa MS Outlook para enviar correos electrónicos a todas las direcciones desde la libreta de direcciones.

   Tema del mensaje: "¡Mira esto!"

   El cuerpo del mensaje contiene texto del siguiente archivo: C: Recycledstacey.htm

   El gusano luego instala una clave que indica que los mensajes han sido enviados por correo:

    [HKCUSoftwareJS.Stacey]
   "Mailed" = "¡Sip!" 

   Cada vez que se abre un mensaje infectado o se inicia Outlook Express, el gusano verificará la fecha actual del sistema. El 31 de mayo de cada año, desactivará la interfaz gráfica de usuario en los sistemas Win9x.

   Instrucciones de eliminación

   Si su computadora no tiene un antivirus actualizado o no tiene una solución antivirus, siga las instrucciones a continuación para eliminar el programa malicioso:

   1. Elimine el archivo original del gusano (la ubicación dependerá de cómo el programa originalmente penetró en la máquina de la víctima).
   2. Elimine las siguientes claves de registro:

      [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0]
      "Signature Flags" = "3"

      [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures]
      "Firma predeterminada" = "00000000"

      [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures 00000000]
      "nombre" = "Firma # 1"
      "tipo" = "2"
      "texto" = ""
      "archivo" = "C: RECYCLEDSTACEY.HTM"

      [HKCUSoftwareJS.Stacey]

   3. Eliminar el siguiente archivo:

       C: Recycledstacey.htm 

   4. Modifique la configuración de la inserción automática de firmas en Outlook Express.
   5. Actualice sus bases de datos de antivirus y realice un análisis completo de la computadora ( descargue una versión de prueba de Kaspersky Anti-Virus).