Email-Worm.Win32.Myba

Detalles técnicos

Se trata de un gusano de Internet que se propaga por correo electrónico y envía mensajes infectados desde computadoras infectadas. Mientras se propaga, el gusano usa MS Outlook y se envía a todas las direcciones que están almacenadas en la libreta de direcciones de MS Outlook.

El gusano en sí es una aplicación Win32 escrita en VisualBasic. El código del gusano parece estar basado en el gusano VBS "I-Worm.LoveLetter" (las rutinas del gusano y sus nombres son muy similares a los de "Loveletter"), y parece que este gusano fue creado al adaptar fuente de VBS "Loveletter" al lenguaje VisualBasic.

Cuando se ejecuta (si un usuario hace clic en un archivo infectado adjunto), el gusano envía sus copias por correo electrónico, se instala en el sistema y realiza acciones destructivas.

El gusano se envía a sí mismo como mensajes de correo electrónico con un archivo EXE adjunto, que es el gusano mismo.

El mensaje aparece de la siguiente manera:

El sujeto: ¡ mi foto de bebé!
Cuerpo del mensaje: ¡ Es mi foto animada de bebé!
Nombre de archivo adjunto: mybabypic.exe

Al ser activado por un usuario (al hacer doble clic en un archivo adjunto), el gusano abre MS Outlook, obtiene acceso a la libreta de direcciones, obtiene todas las direcciones desde allí y envía mensajes con su copia adjunta a todos ellos. El asunto del mensaje, el cuerpo y el nombre del archivo adjunto son los mismos que los de arriba.

El gusano también se instala en el sistema. Crea sus copias en el directorio de sistema de Windows con los siguientes nombres:

WINKERNEL32.EXE, MYBABYPIC.EXE, WIN32DLL.EXE, CMD.EXE, COMMAND.EXE

y se registra en la sección de ejecución automática de Windows en el registro del sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunmybabypic =% WinSystem% mybabypic.exe
HKLMSoftwareMicrosoftWindowsCurrentVersionRunWINKernel32 =% WinSystem% WINKernel32.exe
HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices =% WinSystem% Win32DLL.exe

donde% WinSystem% es el directorio del sistema de Windows. Como resultado, el gusano se reactiva cada vez que se inicia Windows.

El gusano también crea la siguiente clave de registro:

HKCUSoftwareBugger
Predeterminado = HACK [2K]
enviado por correo =% número%

donde% number% es un número de 0 a 3 y depende del proceso que el gusano esté realizando actualmente o haya finalizado: instalación, propagación y activación de su rutina de carga.

La rutina de carga útil es bastante grande. Dependiendo de la fecha y hora del sistema, el gusano:

• enciende / apaga las teclas NumLock, CapLock y ScrollLock
• envía al búfer del teclado el siguiente mensaje:
  

  .IM_BESIDES_YOU_

• conecta el sitio http://www.youvebeenhack.com y envía uno de los textos a:
  

  DE BUGGER
  FELIZ DÍA DE VALENTINES DE BUGGER
  FELIZ HALLOWEEN DE BUGGER

El gusano también corrompe y / o afecta a otros archivos. Escanea árboles de subdirectorios en todas las unidades disponibles, enumera todos los archivos allí y, dependiendo de la extensión del nombre de archivo, realiza una de las siguientes acciones:

VBS, VBE: el gusano destruye el contenido de estos archivos.

JS, JSE, CSS, WSH, SCT, HTA, PBL, CPP, PAS, C, H: el gusano crea un nuevo archivo con un nombre de archivo original más la extensión ".EXE", y copia su cuerpo allí, y luego lo elimina el archivo original; es decir, el gusano sobrescribe estos archivos con su código y los renombra con una extensión EXE. Por ejemplo, "TEST.CPP" se convierte en "TEST.EXE".

JPG, JPEG: el gusano hace lo mismo que arriba, pero agrega una extensión ".EXE" al nombre completo del archivo (no cambia el nombre a ".EXE"). Por ejemplo, "PIC1.JPG" se convierte en "PIC1.JPG.EXE".

MP2, MP3, M3U: el gusano crea un nuevo archivo con una extensión ".EXE" (para "SONG.MP2", el gusano crea el archivo "SONG.MP2.EXE"), escribe su código allí y establece el archivo atributo "oculto" para el archivo original.