ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Email-Worm.Win32.Suppl

Clase Email-Worm
Plataforma Win32
Descripción

Detalles técnicos

Se trata de un virus-gusano que se propaga a través de canales de Internet adjuntos a mensajes de correo electrónico como el documento SUPPL.DOC MS Word97. Se publicó en varios grupos de noticias en septiembre de 1999. Este documento se creó utilizando la edición MS Word97 rusa, lo que significa que el gusano tiene origen ruso o xUSSR.

Para instalarse en el sistema, el gusano utiliza un método que no funciona bajo WinNT, y como resultado, el gusano puede infectar y propagarse solo desde sistemas Win9x.

El gusano tiene una carga útil muy peligrosa: en una semana después de infectar una computadora, el gusano borra, en unidades locales y remotas, los archivos con las siguientes extensiones:


DOC XLS TXT RTF DBF ZIP ARJ RAR

El método de borrado es el mismo que el utilizado por el gusano "ZippedFiles" , y los archivos dañados no son recuperables.

Instalación

El documento infectado solo tiene una macro Document_Open que se ejecuta automáticamente cuando MS Word abre el documento. Esta macro copia su documento en el directorio del sistema de Windows con el nombre ANTHRAX.INI, luego suelta su componente DLL (que está almacenado en el documento infectado) en el mismo directorio con el nombre DLL.TMP. Este componente DLL se descarta a través de un archivo comprimido DLL.LZH temporal.

El gusano luego agrega instrucciones de cambio de nombre al archivo WININIT.INI. Estas instrucciones renombran el WSOCK32.DLL con el nombre WSOCK33.DLL y reemplazan el WSOCK32.DLL con la biblioteca DLL.TMP del gusano. Este truco hace que Windows reemplace su WSOCK32.DLL con una copia de gusano el próximo reinicio de Windows.

Al inicializar sus DLL, Windows carga el DLL infectado (gusano) en lugar de los originales, y como resultado, el gusano obtiene acceso a las funciones de red.

Extensión

En el próximo reinicio de Windows, el WSOCK32.DLL infectado se carga en la memoria del sistema y obtiene el control. El gusano en este momento obtiene acceso e intercepta todas las funciones de biblioteca necesarias que hace la biblioteca original de WSOCK32. Para todos ellos, excepto dos, el gusano simplemente reenvía las solicitudes a las funciones originales, y para este fin, el gusano también carga WSOCK33.DLL (biblioteca original) en la memoria de Windows.

Las dos funciones son procesadas por el virus: sus nombres son "enviar" y "conectar". Al utilizar estas funciones, el gusano intercepta los correos electrónicos enviados desde la computadora infectada y adjunta su copia a estos correos electrónicos como el archivo SUPPL.DOC.


Enlace al original