Email-Worm.Win32.Cervivec

Detalles técnicos

Cervivec es un virus de gusano de Internet que se propaga a través de Internet como un archivo adjunto de correo electrónico.

El gusano en sí es un archivo EXE de Windows PE de aproximadamente 230 Kb de tamaño, escrito en Delphi. Está comprimido por UPX; el tamaño descomprimido es de aproximadamente 670 Kb.

Los mensajes infectados tienen contenido de sujeto / cuerpo seleccionado al azar de diferentes variantes en diferentes idiomas:

Vtip
Cau posilam ti cerviky tak se na a podivej (virus a neni)

Vtip
Cau posielam ti cerviky tak sa na to pozri (virus a neni)

Witz
¡Hola, Ich habe ein Guter Witz-Wurm así que sieh! (virus Kein)

Blague
J'ai une bonne blague ca s'appelle verre de terre alors jette un coup d'oeil (il n'y a pas de virus)

���?
? �� ?? �, '? -�? ���? ��? R'�- � ����? ? �R? �? �? �? (��R -?? ����)

Broma
Hola, tengo un chiste genial – gusanos, así que échale un vistazo (sin virus)

Zart
Czesc, mam swietnz dowcip – robaka. Obejrzyj go sobie (to nie jest wirus)

Chiste
Hola te mando los gusanilloes. Pues mirarlos (no es un virus)

El gusano se activa desde el correo electrónico infectado solo si el usuario hace clic en el archivo adjunto. El gusano se instala en el sistema, ejecuta sus rutinas de propagación y "efecto" ("gusanos" de colores que comen el escritorio).

Durante la instalación, el gusano se copia en el directorio de Windows y en el subdirectorio SYSTEM32 con el nombre "ntkrnl.exe". A continuación, registra ese archivo en la clave de ejecución automática del registro del sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Kernel Loader =% WindowsDir% system32ntkrnl.exe -LOADDRIVERS = TRUE