BARTEN gusano de correo y MSN Messenger usa la técnica Spoofing descarga un archivo malware de Korea.  

© Jorge Machado  Lima-Perú

W32/Barten@mm

Barten un gusano reportado el 07 de Febrero del 2008 propagado a través de mensajes de Correo con la técnica Spoofing, con un Asunto y un Contenido que tiene un enlace de descarga hacia una dirección URL en Korea, con un archivo infectado. 

Se propaga también en mensajes con el mismo enlace a toda la Libreta de Contactos del Microsoft Messenger. 

Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP y Server 2003, está desarrollado y compilado en Visual C++, con una extensión de 52KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

El mensaje tiene las siguientes características:

Remitente: las extraídas del sistema o con la técnica Spoofing.

Asunto: Menina sofre abuso no pará

Contenido:

Você j
deve ter ficado sabendo do caso da menor de idade que
foi mantida presa junto com presos,
do sexo masculino na cidade de
, no estado do pará.... a menor
foi violentada e obrigada a fazer sexo
com os presos em troca de
comida. 
Como se já não
bastasse, os proprios presos fizeram um video com um celular ...
assista o video.
O video fala por si mesmo.
Clique aqui para visualizar o video. 

Al final del mensaje se muestre este enlace:

http://www.interim.co.kr/bbs/data/__zbSessionTMP/video[Removido]

Al ingresar a un sistema el gusano se copia a la carpeta %System% con el nombre de rmsx.exe y para ejecutares la próxima vez que se re-inicie el sistema crea la llave:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"MicrosoftUpdate" = "%USERPROFILE%\rmsm.exe"

Al siguiente inicio del equipo el gusano establece contacto con las siguientes direcciones de correo a través del SMTP:

Luego envía una variación de los siguientes textos a todos al direcciones de la libreta de contactos del Microsoft Messenger:

Con el mismo enlace del mensaje de correo. 

Al parecer el virus ha sido desarrollado en Brasil pero su sitio de descarga del malware está en un dominio de Korea.

PER ANTIVIRUS® versión X4 con registro de virus al 07 de Febrero del 2008 detecta y elimina este gusano.

Ir al menú anterior

Regresar al Portal de PER SYSTEMS