English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.
Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.
Email-Worm.VBS.LoveLetter
| Fecha de detección | 05/05/2000 |
| Clase | Email-Worm |
| Plataforma | VBS |
| Descripción |
Detalles técnicosEste es el gusano de Internet que causó la epidemia mundial a principios de mayo de 2000. El gusano se propaga por correo electrónico al enviar mensajes infectados desde las computadoras afectadas. Mientras se propaga, el gusano usa MS Outlook y se envía a todas las direcciones que están almacenadas en la libreta de direcciones de MS Outlook. Como resultado, una computadora infectada envía tantos mensajes a tantas direcciones guardadas en la lista de contactos de MS Outlook. El gusano está escrito en el lenguaje de scripting "Visual Basic Script" (VBS). Funciona solo en computadoras en las que se ha instalado el Windows Scripting Host (WSH). En Windows 98 y Windows 2000, WHS está instalado por defecto. Para propagarse, el gusano accede a MS Outlook y utiliza sus funciones y listas de direcciones, que solo están disponibles en Outlook 98/2000, por lo que el gusano solo se puede propagar en caso de que se instale una de estas versiones de MS Oulook. Cuando se ejecuta, el gusano envía sus copias por correo electrónico, se instala en el sistema, realiza acciones destructivas, descarga e instala un programa troyano. El gusano también tiene la capacidad de propagarse a través de los canales mIRC. El gusano contiene cadenas de "derechos de autor":
ExtensiónEl gusano llega a una computadora como un mensaje de correo electrónico con un archivo VBS adjunto que es el mismo gusano. El mensaje en la versión original del gusano tiene: El Asunto: ILOVEYOU Tras la activación por parte de un usuario, (haciendo doble clic en un archivo adjunto), el gusano abre MS Outlook, obtiene acceso a la Libreta de direcciones, obtiene todas las direcciones desde allí y envía mensajes con su copia adjunta a todos ellos. El asunto del mensaje, el cuerpo y el nombre del archivo adjunto son los mismos que los de arriba. El gusano también se instala en el sistema. Crea sus copias en los directorios de Windows con los nombres: en el directorio de Windows: WIN32DLL.VBS en el directorio del sistema de Windows: MSKERNEL32.VBS, LOVE-LETTER-FOR-YOU.TXT.VBS Estos archivos se registran en la sección de ejecución automática de Windows en el registro del sistema:
Como resultado, el gusano se reactiva cada vez que Windows arranca. El gusano también crea un cuentagotas HTM en el directorio del sistema de Windows para usarlo mientras se propaga a los canales mIRC (ver a continuación). Esta copia tiene el siguiente nombre:
Descargar un archivo troyanoPara instalar el programa troyano en el sistema, el gusano modifica la URL a la página de inicio de Internet Explorer. La nueva URL apunta a un sitio web (randonly seleccionado entre cuatro variantes) y obliga a Explorer a descargar un archivo EXE desde allí. Ese archivo tiene el nombre WIN-BUGSFIX.EXE y es el programa Troyano. El gusano registra este archivo en el registro del sistema en una sección de ejecución automática:
En la siguiente ejecución, Internet Exlorer descarga el troyano y lo almacena en el directorio de descarga del sistema. En el siguiente inicio de Windows, el troyano obtiene el control y se copia al directorio de sistema de Windows con el nombre WINFAT32.EXE. Cuando se ha instalado el troyano en el sistema, el gusano establece la página de inicio de Internet Explorer en blanco ("sobre: en blanco"). El archivo descargado e instalado es un troyano que roba contraseñas. Obtiene el nombre de la máquina local y la dirección IP, los inicios de sesión de la red y las contraseñas, la información RAS, etc., y los envía al host del troyano. Las muestras que se han analizado envían mensajes a "mailme@super.net.ph", el asunto del mensaje es similar a lo siguiente:
Difundir a los canales de IRCEl gusano escanea unidades locales y busca archivos:
En caso de que al menos uno de estos archivos se encuentre en un subdirectorio, el gusano arroja un nuevo archivo SCRIPT.INI allí. Ese archivo contiene instrucciones mIRC que envían una copia de gusano (el archivo LOVE-LETTER-FOR-YOU.TXT.HTM) a todos los usuarios que se unen al canal de IRC infectado. El archivo SCRIPT.INI contiene los comentarios:
Cuando un usuario de IRC recibe ese HTML infectado, se copia en un directorio de descarga de IRC. El gusano se activa a partir de ese archivo solo en caso de que el usuario haga clic en él. Debido a que la configuración de seguridad del navegador no permite que los scripts accedan a los archivos del disco y muestren un mensaje de advertencia, el gusano usa un truco para evitar eso. Primero, muestra un mensaje para engañar al usuario:
En caso de que el usuario realmente haga clic en 'SÍ', el gusano tendrá acceso a los archivos del disco y se instalará en el sistema. Deja caer su código VBS en el directorio del sistema de Windows con el nombre MSKERNEL32.VBS y lo registra en la sección de ejecución automática de Windows en el registro del sistema:
En caso de que se elija 'NO', el gusano intercepta el movimiento del mouse y los eventos de pulsación de teclas y luego se recarga. Como resultado, un usuario recibe un mensaje de advertencia en un bucle sin fin hasta que presiona 'SÍ'. Acción destructivaEl gusano escanea los árboles de subdirectorios en todas las unidades locales y mapeadas disponibles, enumera todos los archivos allí y, dependiendo de la extensión del nombre de archivo, realiza acciones:
Otras variantesEl gusano en sí es un programa de script de texto y se propaga en forma de fuente de texto. El código del gusano puede ser fácilmente modificado por los hackers, y como resultado, hay muchas variantes del gusano original. La mayoría de ellos son solo remakes menores y difieren del gusano original en detalles: hay cambios en el texto de los campos de mensaje, diferentes nombres de archivos, diferentes conjuntos de extensiones de archivos de disco afectados (por ejemplo, .BAT e .INI). El Asunto, el cuerpo del mensaje y el nombre del archivo adjunto en diferentes variantes aparecen como se enumeran a continuación (el primer bloque pertenece a la versión original del gusano): Asunto / cuerpo / adjuntar nombre TE AMO amablemente revise el LOVELETTER adjunto que viene de mí. LOVE-LETTER-FOR-YOU.TXT.vbs Confirmación del pedido del día de la madre Hemos procedido a cargar su tarjeta de crédito por la cantidad de $ 326.92 para el día especial de las madres diamante. Hemos adjuntado un detallado factura a este correo electrónico Imprima el archivo adjunto y guárdelo en una lugar seguro. ¡Gracias otra vez y ten un feliz dia de las madres! mothersday@subdimension.com mothersday.vbs fwd: Broma |
Enlace al original |
|
| Descubra las estadísticas de las amenazas que se propagan en su región |