ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Email-Worm.Win32.Puron

Clase Email-Worm
Plataforma Win32
Descripción

Detalles técnicos

Este es un gusano de virus que se propaga a través de correos electrónicos infectados e infecta archivos EXE de Windows en las computadoras. Las rutinas del gusano tienen errores y, en algunos casos, detienen la computadora y / o corrompen los archivos al infectarlos.

El código del gusano tiene las cadenas de texto "copyright":

(c) Vecna
Vecna ​​es un punk rocker ahora …

Ejecutar archivo infectado

El gusano puede ingresar a una computadora a través de correos electrónicos infectados de la red local o de cualquier otro archivo infectado que se ejecute.

Cuando se inicia el gusano, extrae de un archivo infectado su código "principal" (es decir, código de virus "puro" – archivo EXE de Win32 PE de 9,5 Kb de tamaño), lo guarda en el directorio TEMP de Windows con un nombre seleccionado al azar (por ejemplo , LNBAMKON.EXE, MMCAAHAN.EXE) y ejecuta ese archivo.

Cuando el código "principal" del virus obtiene control, mueve su archivo al directorio de Windows al que se hace referencia en la clave del Registro:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Carpetas
Inicio común =% startup%

El nombre del directorio% startup% depende de la versión de Windows, por ejemplo:

Documentos y configuracionesTodos los usuarios Menú de inicioProgramasStartup
% WindowsDir% All UsersStart MenuProgramsStartup

El gusano se mueve a ese directorio% startup% con un nombre aleatorio que tiene ocho dígitos seleccionados al azar y una extensión .EXE, por ejemplo:

00544102.EXE
17060133.EXE
37154273.EXE

El gusano ejecuta entonces esa copia en el directorio "Inicio" y borra la primera copia en el directorio TEMP de Windows, por ejemplo:

C: VIRUS.EXE – se ejecuta el archivo infectado
C: WINDOWSTEMPMMCAAHAN.EXE – Se crea y ejecuta la primera copia
C: WINDOWSAll UsersStart MenuProgramsStartup 0544102.EXE – esta es la 2da copia, se crea aquí y se ejecuta. La primera copia se elimina entonces.

Debido a un error, en algunos casos, el gusano se bloquea en el medio de este proceso, y la primera copia se deja en el directorio TEMP.

Cuando se completa el proceso de "mover archivos", el gusano instala un gancho "oculto" y ejecuta las rutinas de propagación de infección y correo electrónico.

Infección

La rutina de infección cuando se obtiene el control, busca un archivo ejecutable .EXE y .SCR de Windows en todas las unidades locales y de red, y las infecta. Al infectar, obtiene un bloque del archivo intermedio, lo comprime y almacena los datos comprimidos y el código del gusano en el archivo para que la longitud del archivo no aumente.

El gusano también usa un motor de mutación polimórfica para hacer que el proceso de detección y desinfección sea más complejo.

Difusión de correo electrónico

Para propagarse, el gusano se conecta a un servidor de correo SMTP y envía mensajes infectados a las direcciones de correo electrónico. Tanto el nombre del servidor SMTP como las direcciones de correo electrónico, el gusano se obtiene de los archivos de datos WAB (libreta de direcciones de Windows).

Los mensajes infectados son de formato HTML y tienen campos:

De: "Mondo bizarro" [mourning@obituary.org]
Asunto: Joey está muerto, hombre … 🙁
Texto: un homenaje a Joey Ramone (1951-2001)
Adjunte: ramones.mp3.exe

El gusano utiliza una de las vulnerabilidades de seguridad (identificador de vulnerabilidad: CAN-2001-0154) que se encontraron en MS Windows en 2001. El resultado de esta infracción es la posibilidad de generar un archivo EXE adjunto sin la acción de un usuario. Cuando se abre un correo electrónico infectado para lectura o vista previa, el archivo EXE del gusano se ejecuta automáticamente.

Microsoft ya lanzó un parche que elimina esta vulnerabilidad. Puede encontrar información adicional aquí: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Sigilo

El gusano enlaza las llamadas al sistema Windows FindFile y FindProcess (FindFirstFileA, FindNextFileA, Process32First, Process32Next). El gusano procesa estas llamadas para que su copia en el directorio "inicio" (ver arriba) no sea reportada. Como resultado, el archivo de gusano no está visible en las listas de archivos y procesos.


Enlace al original