Email-Worm.Win32.Calil

Detalles técnicos

Calil es un gusano de Internet que se propaga a través de Internet como un archivo adjunto a mensajes de correo electrónico infectados.

El gusano envía mensajes con las siguientes propiedades:

Asunto: FW: FW: video del proyecto LILAC adjuntar
Nombre del archivo adjunto: LILAC_WHAT_A_WONDERFULNAME.avi
Tamaño de archivo adjunto: 12208 bytes
Cuerpo del mensaje: cosas que el gobierno. no quiero que sepas

Instalación
Cuando el gusano se inicia en una computadora por primera vez, intenta copiarse en las siguientes ubicaciones codificadas:

c: win98tempLILAC_WHAT_A_WONDERFULNAME.avi c: windowstempLILAC_WHAT_A_WONDERFULNAME.avi.exe c: win95tempLILAC_WHAT_A_WONDERFULNAME.avi.exe c: winnttempLILAC_WHAT_A_WONDERFULNAME.avi.exe c: winmetempLILAC_WHAT_A_WONDERFULNAME.avi.exe c: winxptempLILAC_WHAT_A_WONDERFULNAME.avi.exe

Calil lanza una copia de sí mismo, automáticamente al reiniciar Windows escribiendo el siguiente valor de registro:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun Lilac = (una de las rutas especificadas arriba)

A continuación, el gusano muestra un mensaje de error falso:

Windows Error54: Media Player no instalado correctamente

Replicación
El gusano obtiene direcciones de correo electrónico de las libretas de direcciones de Windows y Outlook, y envía mensajes infectados a estas direcciones. Utiliza Outlook para enviar mensajes infectados. Otro
Calil cambia la información del propietario registrado del sistema escribiendo los siguientes valores de registro:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion RegisteredOwner = xEnOcrAtEs LegalNoticeCaption = Propiedad de: LegalNoticeText = Propiedad de: xEnOcrAtEs

Esto obliga a Windows a mostrar el siguiente mensaje al iniciar:

Propiedad de: xEnOcrAtEs