Email-Worm.VBS.Linong

Detalles técnicos

Este es un gusano de Internet VBS que se propaga adjunto a los correos electrónicos. Para propagar el gusano abre MS Outlook, obtiene acceso a la libreta de direcciones, obtiene todas las direcciones desde allí y se envía a todas estas direcciones. Los mensajes infectados tienen:

Asunto: "My-Linong …"
Cuerpo: "Verdadera historia …"
Nombre de archivo: mylinong.TXT.vbs

Cuando se ejecuta un archivo infectado (cuando un usuario hace clic en el archivo adjunto y lo activa), el código del gusano obtiene el control. En primer lugar, coloca (instala) sus componentes en el sistema:

% windows% mylinong.txt.shs
% windows% SYSTEMKern32Lin.vbs
% windows% Vbrun32DLL.vbs
% windows% SYSTEMmylinong.TXT.vbs

y registra algunos de ellos en claves de registro de ejecución automática:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Kern32lLin =% windows% SYSTEMMSKernel32.vbs
HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices Vbrun32DLL =% windows% Win32DLL.vbs

El gusano también cambia la página de inicio de Internet Explorer.

El gusano crea directorios:

�: LINONG TE AMO MI CARPETA1
�: LINONG TE AMO MI FOLDER2
�: LINONG TE AMO MI FOLDER3

y así sucesivamente hasta 600:

�: LINONG TE AMO MI FOLDER600

A continuación, el gusano crea el archivo de texto% TEMP% mylinong.txt y lo abre (de forma predeterminada, NOTEPAD.EXE abre el archivo y lo muestra):

 @@@@ @@@@ @@@@@@@@@@@@@@@@@@@@ @@@ @@@ @@@@@ @@@ @@@
  @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@
  @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@ @@
  @@ @@ @@ @@ @@ @@ @@@@@@ @@@@ @@ @@ @@ @@
  @@ @@ @@ @@ @ @ @ @ @ @ @ @ @ @ @ @ @@
  @@ @@ @ @@ @@ @@@@ @@ @@ @@ @@ @@ @@
 @@@@@@@@@@@@@@ @@@@@ @@ @@@@@@@@@ @@ @@@@@@@@@@

 @@@@@@@@@@@@@@@@@@@@ @@@ @@@@@@@@@@
  @@ @@ @@ @ @ @ @ @ @ @ @ @ @ @ @ @ @@
  @@ @@ @@ @@ @@ @@ @@ @@ @@
  @@ @@ @@ @@ @@ @@ @@ @@ @@ @@@@@
  @@ @@ @@ @@ @@ @@ @@ @@ @@ @@
  @@ @ @ @ @ @ @ @ @ @ @ @ @ @ @ @ @@
 @@@@@@@@@@@ @@@@ @@@ @@@ @@@@@ @@@ @@@ @@@@@@

 Te amo, MyLinong - 5it3Ninty8