ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Virus.MSAccess.SuperSonic

Clase Virus
Plataforma MSAccess
Descripción

Detalles técnicos

Se trata de un gusano de Internet de varios componentes que infecta las máquinas Win32 y se propaga en los mensajes de correo electrónico como un archivo EXE adjunto. El gusano tiene varios componentes y es capaz de "actualizarse" a sí mismo desde un sitio web de Internet.

Hay dos componentes principales del gusano: cargador y componente principal.

El cargador es un archivo EXE de Windows de aproximadamente 25 KB de tamaño (está comprimido por una utilidad de compresión de archivos UPX PE EXE, que se descomprime y alcanza un tamaño de aproximadamente 70 000). Cuando el cargador se activa en una computadora (se ejecuta desde un correo electrónico adjunto), se registra a sí mismo como un proceso oculto (servicio), se copia en el directorio del sistema de Windows con el nombre GDI32.EXE y se registra en la ejecución automática clave de registro del sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
GDI = WinSystemGDI32.EXE

donde "WinSystem" es el nombre del directorio del sistema de Windows. Como resultado, el gusano Loader se ejecuta luego de cada inicio de Windows. Tenga en cuenta que hay componentes estándar de Windows en este directorio: GDI.EXE y GDI32.DLL. El gusano usa el nombre GDI32.EXE para disfrazarse en un entorno estándar de Windows.

Para ocultar su actividad, el gusano muestra el mensaje de error falso:

FileName n 'est pas une application Win32 valide.

donde FileName es el nombre real del archivo desde el que se inició el gusano.

El gusano activa entonces el procedimiento principal que obtiene y ejecuta el componente Principal. Entra en la página web http://www.geocities.com/olivier1548/ y obtiene varios archivos de allí:

  • LASTVERSION.TXT – un archivo de texto con el número de la última versión de gusano disponible allí. Si no hay una nueva versión, el gusano se cierra.
  • nn.ZIP – última versión del componente principal del gusano, "nn" se define en LASTVERSION.TXT.
  • GATEWAY.ZIP: la última versión del componente Loader del gusano.

Los archivos nn.ZIP y GATEWAY.ZIP no son en realidad archivos, sino un archivo EXE de Windows cifrado. El cargador de gusanos los descifra, los copia en el directorio de Windows y genera. Como resultado, el componente principal se activa en la computadora.

El componente principal del gusano es el archivo EXE de Windows de aproximadamente 40 KB de tamaño (está comprimido por una utilidad de compresión de archivos UPX PE EXE, que se descomprime y alcanza un tamaño de 120 KB). Se instala en el directorio de Windows con el nombre GDI32A.EXE y se registra en el registro del sistema de forma similar a la descrita anteriormente para el cargador de virus. Los componentes principales entonces, dependiendo de algunas condiciones, abren la libreta de direcciones de Windows, obtienen direcciones Inet desde allí y envían mensajes de correo electrónico infectados. En la versión conocida del gusano, estos mensajes tienen:

Asunto: Elige tu veneno
Nombre de archivo adjunto: girls.exe

El componente principal del gusano también tiene capacidades de puerta trasera para mirar la computadora infectada y ejecutar sus recursos desde la máquina host remota.


Enlace al original