ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Email-Worm.Win32.Fizzer

Clase Email-Worm
Plataforma Win32
Descripción

Detalles técnicos

Fizzer es un gusano de Internet que se propaga a través de mensajes de correo electrónico y directorios compartidos de KaZaa. También contiene características de acceso remoto de "puerta trasera".

Instalación

Cuando se inicia el gusano, crea los siguientes archivos en el directorio de Windows:

iservc.exe (copia del gusano) initbak.dat (copia del gusano) ProgOp.exe (componente del gusano) iservc.dll (biblioteca del registrador de teclas utilizado por el gusano) iservc.klg (contiene datos de pulsación de tecla registrados)

El gusano también escribe una clave de registro para iniciarse automáticamente cuando se inicia Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun SystemInit = (ruta del directorio de Windows) iservc.exe

En Windows NT / 2000 / XP, el gusano puede crear un servicio de sistema, pero su habilidad está deshabilitada por su autor.

También se registra como un controlador predeterminado para los archivos con la extensión ".TXT", lo que hace que el gusano se ejecute cuando se abren dichos archivos.

Replicación: KaZaa

El gusano se copia al directorio de descarga de KaZaa con nombres de archivo aleatorios.

Replicación: correo electrónico

El gusano usa su propio motor SMTP para enviar sus copias. Las direcciones de correo electrónico de destino se generan aleatoriamente o se extraen de las libretas de direcciones de Outlook y Windows.

Los mensajes infectados tienen varios sujetos seleccionados, cuerpos y nombres de archivos adjuntos. Se generan a partir de varias listas de cadenas grandes. Por ejemplo:

Asunto: Re:; (Archivo adjunto: desktop.exe Cuerpo: no debe mostrar esto a nadie … Asunto: Asunto: Creo que puede encontrar esto entretenido … Archivo adjunto: Logan6.exe Cuerpo: Déjame saber lo que piensas de esto … Asunto: Fwd: ¿por qué? Adjunto: Cuerpo de Taylor83.com: Hoy es un buen día para morir …

Rutina de puerta trasera: IRC

El gusano contiene una lista de canales de IRC con los que intenta conectarse para recibir comandos de acceso remoto de un atacante.

Rutina de puerta trasera: Otro

El gusano inicia los servidores HTTP y telnet y los vincula a los puertos preconfigurados para proporcionar acceso remoto a la computadora.

Otro

El gusano captura todas las pulsaciones de teclas y las escribe en el archivo llamado "iservc.klg" en el directorio de Windows. También intenta descargar e instalar su versión actualizada desde una página de usuario de geocities. El gusano intenta finalizar procesos que contienen las siguientes cadenas en sus nombres:

ANTIV AVP F-PROT NAV NMAIN SCAN TASKM VIRUS VSHW VSS

La mayoría de las opciones, como nombres de claves de registro, nombres de servidores IRC y SMTP, números de puertos y secuencias de acciones, están preconfigurados en un archivo de datos especial que se cifra y almacena en los recursos del archivo EXE del gusano.


Enlace al original