BLACKWORM gusano de alta propagación masiva vía Correo Yahoo Messenger, Agenda de Yahoo, etc.  

© Jorge Machado  Lima-Perú

Emitimos el pte. boletín debido a que los principales desarrolladores de software antivirus han propalado información sobre esta nueva especie viral con diferentes nombres. Es este caso ha sido codificada por varias personas, las mismas que coordinadamente o en forma individual la han propagado en variantes, algunas de las cuales evidencian errores de programación y funcionabilidad (bugs).   

Blackworm.C es un gusano reportado el 07 de Septiembre del 2004, de propagación masiva a través de mensajes de Correo, enviados a los buzones de correo de MS Outlook, la libreta de direcciones de Yahoo Messenger , la libreta de la Agenda de Yahoo y los contenidos en los archivos con extensiones HTM o DBX.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual Basic, con una extensión de 70 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo que extrae de las Libretas de direcciones arriba mencionados y de archivos con determinadas extensiones.

El mensaje tiene 2 principales formatos con las siguientes características:

Formato 1

Remitente, cualquier dirección capturada en los sistemas infectados o usando la técnica Spoofing con cualquiera de las siguientes direcciones:

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes: 

Anexado, uno de los siguientes:

Aleatoriamente puede ajuntar un archivo JPG con una imagen pornográfica.

Formato 2

Asunto: Fw: Virus Alert

Contenido:

Dear User ,
This is A very High Resk Virus Alert.
This email is sent to you because one or some of your friends has been infected with The W32.BlackWorm.A@mm Virus.
And you could be infected too. This Virus has the ability to damage the hard disk.
This Virus infects computers using many new ways :
1- it arrives as an email attachment inside of jpg pictures.
2- it infects the ip address without the victim's knowledge.
3- it infects Microsoft Word Documents using a new exploit in hex (00fxf0xf10x). 
Notes:
Symantec Consumer products that support Worm Blocking functionality automatically detect this threat as it attempts to spread.
Symantec Security Response has attached a removal tool to clean and prevent the infections of W32.BlackWorm.A@mm.
--------------------------------------------------------------------------------
Sincerely
Norton AntiVirus

Anexado, uno de los siguientes:

Los de formato .ZIP y .TGZ contienen el archivo FIX_BLACKWORM.COM

Al activarse el archivo muestra la ventana de Windows Media Player, aunque sin ejecutar ninguna función:

El gusano se copia a diversas carpetas con los siguientes nombres de archivo:

Copia a la carpeta %System% los archivos:

y genera las siguientes llaves de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Notepad.exe" = "C:\WINNT\VOLUME\NOTEPAD.EXE"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"default" = "C:\WINNT\VOLUME\NOTEPAD.EXE"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Active Setup]
"Security" = C:\WINNT\SYSTEM32\NOTEPADm.exe" 

En caso que el sistema tenga instalado el utilitario WinZIP el gusano cambiará el nombre del usuario registrado y el número de serie:

[HKEY_CURRENT_USER\Software\Nico Mak Computing\WinZip\WinIni]
"Name"="BlackWorm"
"SN"="2AD00ED6"

Para activarse la próxima vez que se re-inicie el sistema crea las siguientes llaves:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"default" = "C:\winnt\volume\[twunk_32.exe]" 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"default" = "C:\winnt\volume\[winhelp.exe]"

%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003. 

La siguiente vez que se inicie el sistema, el gusano borra las siguientes claves, la mayoría correspondientes a antivirus y software de control:

de las siguientes llaves de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

Luego borra los siguientes archivos: 

Intenta conectarse a:

http://webstats.rcn.com 

Sus payloads son los siguientes:

PER ANTIVIRUS® versión 8.8 con registro de virus al 07 de Septiembre del 2004 detecta y elimina eficientemente este gusano y sus variantes existentes y por crearse.

Ir al menú anterior

Regresar al Portal de PER SYSTEMS