Kaspersky Threats

Clase

Plataforma

Descripción

Detalles técnicos

Fizzer es un gusano de Internet que se propaga a través de mensajes de correo electrónico y directorios compartidos de KaZaa. También contiene características de acceso remoto de "puerta trasera".

Instalación

Cuando se inicia el gusano, crea los siguientes archivos en el directorio de Windows:

iservc.exe (copia del gusano) initbak.dat (copia del gusano) ProgOp.exe (componente del gusano) iservc.dll (biblioteca del registrador de teclas utilizado por el gusano) iservc.klg (contiene datos de pulsación de tecla registrados)

El gusano también escribe una clave de registro para iniciarse automáticamente cuando se inicia Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun SystemInit = (ruta del directorio de Windows) iservc.exe

En Windows NT / 2000 / XP, el gusano puede crear un servicio de sistema, pero su habilidad está deshabilitada por su autor.

También se registra como un controlador predeterminado para los archivos con la extensión ".TXT", lo que hace que el gusano se ejecute cuando se abren dichos archivos.

Replicación: KaZaa

El gusano se copia al directorio de descarga de KaZaa con nombres de archivo aleatorios.

Replicación: correo electrónico

El gusano usa su propio motor SMTP para enviar sus copias. Las direcciones de correo electrónico de destino se generan aleatoriamente o se extraen de las libretas de direcciones de Outlook y Windows.

Los mensajes infectados tienen varios sujetos seleccionados, cuerpos y nombres de archivos adjuntos. Se generan a partir de varias listas de cadenas grandes. Por ejemplo:

Asunto: Re:; (Archivo adjunto: desktop.exe Cuerpo: no debe mostrar esto a nadie … Asunto: Asunto: Creo que puede encontrar esto entretenido … Archivo adjunto: Logan6.exe Cuerpo: Déjame saber lo que piensas de esto … Asunto: Fwd: ¿por qué? Adjunto: Cuerpo de Taylor83.com: Hoy es un buen día para morir …

Rutina de puerta trasera: IRC

El gusano contiene una lista de canales de IRC con los que intenta conectarse para recibir comandos de acceso remoto de un atacante.

Rutina de puerta trasera: Otro

El gusano inicia los servidores HTTP y telnet y los vincula a los puertos preconfigurados para proporcionar acceso remoto a la computadora.

Otro

El gusano captura todas las pulsaciones de teclas y las escribe en el archivo llamado "iservc.klg" en el directorio de Windows. También intenta descargar e instalar su versión actualizada desde una página de usuario de geocities. El gusano intenta finalizar procesos que contienen las siguientes cadenas en sus nombres:

ANTIV AVP F-PROT NAV NMAIN SCAN TASKM VIRUS VSHW VSS

La mayoría de las opciones, como nombres de claves de registro, nombres de servidores IRC y SMTP, números de puertos y secuencias de acciones, están preconfigurados en un archivo de datos especial que se cifra y almacena en los recursos del archivo EXE del gusano.

Enlace al original

Descubra las estadísticas de las amenazas que se propagan en su región

Clase	Email-Worm
Plataforma	Win32
Descripción	Detalles técnicos Fizzer es un gusano de Internet que se propaga a través de mensajes de correo electrónico y directorios compartidos de KaZaa. También contiene características de acceso remoto de "puerta trasera". Instalación Cuando se inicia el gusano, crea los siguientes archivos en el directorio de Windows: iservc.exe (copia del gusano) initbak.dat (copia del gusano) ProgOp.exe (componente del gusano) iservc.dll (biblioteca del registrador de teclas utilizado por el gusano) iservc.klg (contiene datos de pulsación de tecla registrados) El gusano también escribe una clave de registro para iniciarse automáticamente cuando se inicia Windows: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun SystemInit = (ruta del directorio de Windows) iservc.exe En Windows NT / 2000 / XP, el gusano puede crear un servicio de sistema, pero su habilidad está deshabilitada por su autor. También se registra como un controlador predeterminado para los archivos con la extensión ".TXT", lo que hace que el gusano se ejecute cuando se abren dichos archivos. Replicación: KaZaa El gusano se copia al directorio de descarga de KaZaa con nombres de archivo aleatorios. Replicación: correo electrónico El gusano usa su propio motor SMTP para enviar sus copias. Las direcciones de correo electrónico de destino se generan aleatoriamente o se extraen de las libretas de direcciones de Outlook y Windows. Los mensajes infectados tienen varios sujetos seleccionados, cuerpos y nombres de archivos adjuntos. Se generan a partir de varias listas de cadenas grandes. Por ejemplo: Asunto: Re:; (Archivo adjunto: desktop.exe Cuerpo: no debe mostrar esto a nadie … Asunto: Asunto: Creo que puede encontrar esto entretenido … Archivo adjunto: Logan6.exe Cuerpo: Déjame saber lo que piensas de esto … Asunto: Fwd: ¿por qué? Adjunto: Cuerpo de Taylor83.com: Hoy es un buen día para morir … Rutina de puerta trasera: IRC El gusano contiene una lista de canales de IRC con los que intenta conectarse para recibir comandos de acceso remoto de un atacante. Rutina de puerta trasera: Otro El gusano inicia los servidores HTTP y telnet y los vincula a los puertos preconfigurados para proporcionar acceso remoto a la computadora. Otro El gusano captura todas las pulsaciones de teclas y las escribe en el archivo llamado "iservc.klg" en el directorio de Windows. También intenta descargar e instalar su versión actualizada desde una página de usuario de geocities. El gusano intenta finalizar procesos que contienen las siguientes cadenas en sus nombres: ANTIV AVP F-PROT NAV NMAIN SCAN TASKM VIRUS VSHW VSS La mayoría de las opciones, como nombres de claves de registro, nombres de servidores IRC y SMTP, números de puertos y secuencias de acciones, están preconfigurados en un archivo de datos especial que se cifra y almacena en los recursos del archivo EXE del gusano.
	Enlace al original
	Descubra las estadísticas de las amenazas que se propagan en su región

Email-Worm.Win32.Fizzer