|
W32/Agent.AAWD@mm
Agent.AAWD es un gusano de correo reportado el 13 de Septiembre del 2007 de propagación masiva que modifica el archivo HOSTS, y bloquea el acceso a sitios web relacionados a software antivirus para impedir sus actualizaciones.
Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP y Server 2003, desarrollado en Visual C++, con una extensión de 79KB y no está encriptado. En su lugar ustiliza el algoritmo MD5:
66b95d9b052d90afea298481f35be570
Posee su propio SMTP (Simple Mail Transfer Protocol) y extrae los buzones de correo de la Libreta de Direcciones de Windows WAB (Windows Address Book) y de los archivos con las siguientes extensiones:
También extrae direcciones de la siguiente llave:
[HKEY_LOCAL_MACHINE\Software\Microsoft\WAB\WAB4\Wab File Name]
El mensaje tiene las siguientes características:
Remitente, las direcciones extraidas o empleando la técnica Spoofing, uno de los siguientes:
Asunto, uno de los siguientes:
Contenido:
|
You have just recieved a new Google Message! You can view your message here: http://www.google.com/[Censurado] Note: If you do not already have Google Message Viewer installed, you will be prompted to install it. |
Al hacer click en el enlace, se copia a la carpeta %System% como sysboot32.exe para ejecutarse la próxima vez que se inicie el sistema, crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"System Boot Loader" = "%System%\sysboot32.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP.
Al siguiente inicio del equipo, el gusano inicia su rutina de envio masivo de mensajes de correo y deshabilita el acceso a los siguientes sitios web:
PER ANTIVIRUS® versión 10.2 con registro de virus al 13 de Septiembre del 2007 detecta y elimina eficientemente este gusano.
