Email-Worm.VBS.BubbleBoy

Clase de padre: VirWare

Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.

Clase: Email-Worm

Email-Worms esparcidos por correo electrónico. El gusano envía una copia de sí mismo como un archivo adjunto a un mensaje de correo electrónico o un enlace a su archivo en un recurso de red (por ejemplo, una URL a un archivo infectado en un sitio web comprometido o un sitio web propiedad de hackers). En el primer caso, el código del gusano se activa cuando se abre (inicia) el archivo adjunto infectado. En el segundo caso, el código se activa cuando se abre el enlace al archivo infectado. En ambos casos, el resultado es el mismo: el código del gusano está activado. Email-Worms utiliza una variedad de métodos para enviar correos electrónicos infectados. Los más comunes son: el uso de una conexión directa a un servidor SMTP utilizando el directorio de correo electrónico integrado en el código del gusano utilizando los servicios de MS Outlook utilizando las funciones de Windows MAPI. Email-Worms utiliza varias fuentes diferentes para encontrar las direcciones de correo electrónico a las que se enviarán los correos electrónicos infectados: la libreta de direcciones en MS Outlook una base de datos WAB. Archivos .txt almacenados en el disco duro: el gusano puede identificar qué cadenas en los archivos de texto son direcciones de correo electrónico correos electrónicos en la bandeja de entrada (algunos Email-Worms incluso "responden" a los correos electrónicos que se encuentran en la bandeja de entrada) Muchos Email-Worms usan más de una de las fuentes mencionadas anteriormente. También hay otras fuentes de direcciones de correo electrónico, como libretas de direcciones asociadas con servicios de correo electrónico basados ​​en la web.

Más información

Plataforma: VBS

Visual Basic Scripting Edition (VBScript) es un lenguaje de scripts interpretado por Windows Script Host. VBScript es ampliamente utilizado para crear scripts en sistemas operativos Microsoft Windows.

Descripción

Detalles técnicos

Tipo: Gusano de correo electrónico
Plataforma: MS Windows con Internet Explorer 5.0, MS Outlook 98/2000 o MS Outlook Express

Este es un gusano de virus de Internet que se propaga a través de Internet como mensajes infectados de correo electrónico. El gusano llega como un mensaje sin datos adjuntos, y el gusano usa varios trucos para activar su código directamente desde el cuerpo del mensaje. Cuando se abre este mensaje, el código del gusano toma el control, obtiene acceso a los recursos del sistema (archivos de disco y registro del sistema), procesa la libreta de direcciones de Outlook y envía mensajes infectados a estas direcciones (de forma similar a Macro.Word97.Melissa virus lo hace).

Este es el primer gusano de Internet moderno conocido que distribuye sus copias sin datos adjuntos. Como es el caso con otros gusanos de Internet, un usuario debe abrir el archivo adjunto para activar las rutinas del gusano, que toman el control en el momento en que se abre el mensaje.

Los engaños

Para difundir sus copias, este gusano usa dos medios de engaño. El primero es la característica MS Outlook que permite la creación de mensajes en formato HTML. Los mensajes HTML pueden contener scripts que se ejecutarán automáticamente en el momento en que se muestre el mensaje HTML (el usuario abre el mensaje). El gusano usa esta característica para ejecutar su código cuando se abre el mensaje infectado.

Para extender sus copias aún más y evitar la seguridad de Internet Explorer, el gusano usa otro truco. En este momento, esto se denomina vulnerabilidad de seguridad "Scriptlet.Typelib".

Esta violación de seguridad permite que los scripts HTML creen archivos de disco. El gusano usa esta brecha para crear un archivo HTA (Aplicaciones HTML, apareció un nuevo tipo con IE5), que contiene el código principal del gusano. Este archivo se crea en la carpeta Inicio de Windows y, como resultado, se activa el próximo inicio de Windows. Al ejecutarse como un archivo de disco local, la secuencia de comandos del gusano en este HTML obtiene acceso a los archivos y recursos del disco sin ningún mensaje de advertencia de seguridad de Internet Explorer, se conecta a la libreta de direcciones de Outlook y se propaga a sí mismo.

Detalles técnicos

Cuando un usuario abre un mensaje infectado, el script de gusano incrustado en este cuerpo de mensaje se activa y ejecuta automáticamente por MS Outlook. Este script (mediante el incumplimiento de seguridad) crea el archivo "UPDATE.HTA" en el directorio "C: WINDOWSSTART MENUPROGRAMSSTARTUP". Este es el mismo archivo que el gusano intenta crear en el directorio "C: WINDOWSMENU INICIOPROGRAMASINICIO" (nombre predeterminado de España Windows).

Este archivo "UPDATE.HTA" contiene el código principal del gusano. Se ejecutará en el próximo inicio de Windows, debido a su ubicación en la carpeta Inicio. El gusano tiene un error menor aquí: asume que Windows siempre está instalado en el directorio C: WINDOWS. Si este no es el caso, el gusano no puede crear su archivo y no se puede replicar más.

Cuando se ejecuta el archivo UPDATE.HTA, el gusano ejecuta la aplicación de Outlook en una ventana oculta y crea un nuevo mensaje para todos los destinatarios de la libreta de direcciones de Outlook de la misma forma que el virus "Melissa". Este nuevo mensaje tiene el formato HTML y contiene el script del gusano en el cuerpo. El asunto del mensaje es "¡BubbleBoy atrás!", Y el cuerpo del texto aparece de la siguiente manera:

 El incidente, las imágenes y los sonidos de BubbleBoy http://www.towns.com/dorms/tom/bblboy.htm

Después de enviar este mensaje, el gusano crea lo siguiente en la clave de registro del sistema para evitar que se envíen mensajes duplicados:

 "HKEY_LOCAL_MACHINESoftwareOUTLOOK.BubbleBoy" = "OUTLOOK.BubbleBoy 1.0 por Zulu"

Al final, el gusano deja, en la pantalla, una ventana con el siguiente texto:

  Error del sistema, elimine "UPDATE.HTA" de la carpeta de inicio para solucionar este problema  problema.

El gusano también cambia los datos de registro de Windows (esta rutina se ejecuta en el momento en que el script UPDATE.HTA toma el control):

  RegisteredOwner = "BubbleBoy"  RegisteredOrganization = "Industrias Vandelay"

Proteccion

Microsoft ha lanzado una actualización que elimina la vulnerabilidad "Scriptlet.Typelib". Le recomendamos encarecidamente que visite http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP e instale esta actualización.

Si no utiliza ninguna aplicación HTML (archivos HTA), existe otra forma de prevenir la infección por virus de este tipo (los gusanos y virus que usan la vulnerabilidad de seguridad "Scriptlet.Typelib"). Es necesario eliminar la asociación de archivos para la extensión .HTA. Para hacer esto, debes seguir varios pasos:

1. Haga doble clic en el ícono "Mi PC" en el escritorio.
2. En la ventana abierta, elija el menú "Ver" -> "Opciones ...".
3. En la pestaña "Tipos de archivo" en el cuadro de lista "Tipos de archivos registrados", seleccione el ítem "HTML Applicaton".
4. Haga clic en el botón "Eliminar" y confirme la acción.
5. Cerrar cuadro de diálogo de opciones.

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com