English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.
Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.
Email-Worm.Win32.Puron
| Clase | Email-Worm |
| Plataforma | Win32 |
| Descripción |
Detalles técnicosEste es un gusano de virus que se propaga a través de correos electrónicos infectados e infecta archivos EXE de Windows en las computadoras. Las rutinas del gusano tienen errores y, en algunos casos, detienen la computadora y / o corrompen los archivos al infectarlos. El código del gusano tiene las cadenas de texto "copyright":
Ejecutar archivo infectadoEl gusano puede ingresar a una computadora a través de correos electrónicos infectados de la red local o de cualquier otro archivo infectado que se ejecute. Cuando se inicia el gusano, extrae de un archivo infectado su código "principal" (es decir, código de virus "puro" – archivo EXE de Win32 PE de 9,5 Kb de tamaño), lo guarda en el directorio TEMP de Windows con un nombre seleccionado al azar (por ejemplo , LNBAMKON.EXE, MMCAAHAN.EXE) y ejecuta ese archivo. Cuando el código "principal" del virus obtiene control, mueve su archivo al directorio de Windows al que se hace referencia en la clave del Registro:
El nombre del directorio% startup% depende de la versión de Windows, por ejemplo:
El gusano se mueve a ese directorio% startup% con un nombre aleatorio que tiene ocho dígitos seleccionados al azar y una extensión .EXE, por ejemplo:
El gusano ejecuta entonces esa copia en el directorio "Inicio" y borra la primera copia en el directorio TEMP de Windows, por ejemplo:
Debido a un error, en algunos casos, el gusano se bloquea en el medio de este proceso, y la primera copia se deja en el directorio TEMP. Cuando se completa el proceso de "mover archivos", el gusano instala un gancho "oculto" y ejecuta las rutinas de propagación de infección y correo electrónico. InfecciónLa rutina de infección cuando se obtiene el control, busca un archivo ejecutable .EXE y .SCR de Windows en todas las unidades locales y de red, y las infecta. Al infectar, obtiene un bloque del archivo intermedio, lo comprime y almacena los datos comprimidos y el código del gusano en el archivo para que la longitud del archivo no aumente. El gusano también usa un motor de mutación polimórfica para hacer que el proceso de detección y desinfección sea más complejo. Difusión de correo electrónicoPara propagarse, el gusano se conecta a un servidor de correo SMTP y envía mensajes infectados a las direcciones de correo electrónico. Tanto el nombre del servidor SMTP como las direcciones de correo electrónico, el gusano se obtiene de los archivos de datos WAB (libreta de direcciones de Windows). Los mensajes infectados son de formato HTML y tienen campos:
El gusano utiliza una de las vulnerabilidades de seguridad (identificador de vulnerabilidad: CAN-2001-0154) que se encontraron en MS Windows en 2001. El resultado de esta infracción es la posibilidad de generar un archivo EXE adjunto sin la acción de un usuario. Cuando se abre un correo electrónico infectado para lectura o vista previa, el archivo EXE del gusano se ejecuta automáticamente. Microsoft ya lanzó un parche que elimina esta vulnerabilidad. Puede encontrar información adicional aquí: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp SigiloEl gusano enlaza las llamadas al sistema Windows FindFile y FindProcess (FindFirstFileA, FindNextFileA, Process32First, Process32Next). El gusano procesa estas llamadas para que su copia en el directorio "inicio" (ver arriba) no sea reportada. Como resultado, el archivo de gusano no está visible en las listas de archivos y procesos. |
Enlace al original |
|
| Descubra las estadísticas de las amenazas que se propagan en su región |