Email-Worm.Win32.Ciosor

Detalles técnicos

Este es el virus del gusano que se propaga a través de Internet y se adjunta a los correos electrónicos infectados. El gusano en sí es un archivo EXE de Windows PE de aproximadamente 107 Kb de longitud, escrito en Visual Basic (VB5).

El gusano se activa a partir del correo electrónico infectado solo en caso de que un usuario haga clic en el archivo adjunto. El gusano luego se instala en el sistema, ejecuta la distribución de rutina y la carga útil.

Los mensajes infectados tienen diferentes textos y nombres de archivo adjuntos, que son seleccionados aleatoriamente por el gusano mientras se propagan desde las siguientes variantes:

Los sujetos son:
Cuidado con los virus !!! Tienes un virus !!! Me lo baje de Internet Una co�a de la red

Los cuerpos son:
% virusname% es "Nimda", "Magistr" o "Sircam".

Saludos
Me ha llegado el virus% virusname%, de tu computadora, ya es la segunda vez
Pasa la vacuna que te env�o, de Norton Antivirus
�Y diez mas cuidado la pr�xima vez!

Un Saludo
Por Favor, revise su computadora, me ha enviado el virus% virusname%
Le env�o la vacuna facilitada por Norton Antivirus

Un Saludo
Hola, perdona, que te moleste, pero me ha enviado un virus, el% virusname%
Te env�o la vacuna de panda, �¡Ten mas cuidado la pr�xima vez!

Hola
Te env�o un fichero que me bajó de Internet, es una broma. mueve �l
Rat�n por toda la pantalla. No se quita ni pulsando control + alt + supr,
Jeje, al final hay que reiniciar. <

Los nombres de archivos adjuntos son:

MueveRaton.exe
AntiMagistr.exe
AntiNimda.exe
AntiSircam.exe

Para enviar mensajes infectados, el gusano escanea los archivos * .EML, * .NWS y * .DBX, obtiene las direcciones de correo electrónico de las víctimas desde allí, luego se conecta al servidor SMTP smtp.terra.es y luego envía los mensajes infectados.

Instalación

Al instalar el gusano se copia al directorio del sistema de Windows con el nombre REGWIZ.EXE (y sobrescribe el archivo original REGWIZ.EXE de Windows) y registra este archivo en la clave de ejecución automática del registro del sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun regwiz =% systemdir% regwiz.EXE

El gusano también establece los atributos ReadOnly, Hidden y System para este archivo.

El gusano muestra un mensaje de error falso:

no es una aplicación Win32 v�lida
[ OKAY ]

Carga útil

El gusano agrega al archivo C: MSDOS.SYS el comando:

BootKeys = 0

El efecto de esto es la imposibilidad de romper o rastrear el proceso de arranque en sistemas Win9x.

El gusano se queda en la memoria de Windows como aplicación oculta (servicio del sistema) y ejecuta la rutina de carga: el ratón se mueve aleatoriamente en la pantalla y el mouse se vuelve inutilizable.

El gusano también ejecuta su contador interno en la clave de registro:

Configuración del programa HKCUSoftwareVB y VBAregwizconfig
ejec =% number%

y aumenta esta valie en cada ejecución. Cuando este contador llega a 75, el gusano altera la clave de registro:

HKCUControl PanelDesktop
ScreenSaveActive = 0

luego sale de Windows y reinicia la máquina.