CAPSIDE.B, gusano de Correo y redes Peer to Peer, infecta todos los archivos con extensión HTML.  

© Jorge Machado  Lima-Perú

W32/Capside.B, W32.Caspid.B@mm, I.worm.Caspid.B@mm

Capside.B es un gusano reportado el 24 de Febrero del 2003, de alta propagación masiva a través de mensajes de Correo y de la mayoría de Redes con archivos compartidos Peer to Peer. Infecta todos los archivos con extensión HTML de las carpetas y sub-carpetas del sistema a los cuales inserta su código viral. Ha sido desarrollado por MachineDramon, miembro del grupo internacional de autores de virus GEDZAC GrOuP. 

El gusano aprovecha unas vulnerabilidades que afectan a Microsoft Outlook Express 5.5 y 6.0 e Internet Explorer 5.01, 5.5 y 6.0.

Se propaga vía mensajes de Correo con una copia de sí mismo codificada en formato MIME (Multipurpose Internet Mail Extension) con el nombre de CAPBPlan.htm, la misma que configura como defecto en MS Outlook Express y como consecuencia, el gusano se insertará dentro de todos los mensajes enviados bajo formato HTML. 

Para este propósito modifica la siguiente llave de registro:

HKEY_CURRENT_USER\Identities\
{9142B860-0DF0-11D7-84AB-9D94A5554662}\
Software\Microsoft\Outlook Express\5.0\Mail

para obtener la siguiente entrada:

Wide Stationery Name = "%Windows%\CapBPlan.htm"
Stationery Name = "%Windows%\CapBPlan.htm"

El gusano infecta los archivos con extensión .HTML en las carpetas y sub-carpetas de los sistemas infectados, insertando su código en formato MIME y encriptando el contenido original de los archivos infectados. 

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está programado en Visual Basic, con una extensión de 34 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Al ejecutar el archivo infectado, el gusano muestra la siguiente caja de diálogo:

Luego se copia al directorio %Windir% con los siguientes nombres:

Los dos últimos archivos son copias codificadas MIME en formato HTML. 

Simultáneamente copia a la carpeta %System% un archivo de nombre aleatorio con la extensión .SCR y en los sistemas operativos Windows 95/98/Me libera la siguiente copia en la ruta:

\Archivos_de_Programa\Microsoft Shared\Stationery\CapBPlan.htm 

Para ejecutarse la próxima vez que se inicie el sistema crea la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
 "WinregB" = "%System%\nombre_aleatorio.scr" 

En Windows NT/2000/XP crea además esta llave:

[HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe %Windir%\edispaC.exe" 
 
El gusano modifica el archivo WIN.INI para activarse al reiniciarse en Windows 95/98/Me:

WIN.INI
[windows]
Run = %Windows%\CapGEDZAC.pif

Igualmente lo hace con el SYSTEM.INI:

SYSTEM.INI
[windows]
 shell=explorer.exe %Windows%\edispaC.exe

Capside.B agrega adicionalmente las siguientes llaves de registro: 

 HKEY_CURRENT_USER\Software\Microsoft\
Office\10.0\Common\MailSettings
NewStationery = "Capside" 

 HKEY_CURRENT_USER\Software\Microsoft\
Windows Messaging Subsystem\Profiles\
0a0d020000000000c000000000000046001e0360 = "Capside" 

 HKEY_CURRENT_USER\Software\Microsoft\
Windows Messaging Subsystem\Profiles\
Microsoft Outlook Internet Settings\
0a0d020000000000c000000000000046001e0360 = "Capside" 

 HKEY_CURRENT_USER\Software\Microsoft\Windows NT\
CurrentVersion\Windows Messaging Subsystem\Profiles\
0a0d020000000000c000000000000046001e0360 = "Capside" 

 HKEY_CURRENT_USER\Software\Microsoft\Windows NT\
CurrentVersion\Windows Messaging Subsystem\
Profiles\Microsoft Outlook Internet Settings\
0a0d020000000000c000000000000046001e0360 = "Capside" 

 HKEY_CURRENT_USER\Software\Microsoft\
Office\10.0\Common\MailSettings
NewStationery = "Capside" 

Los parches para las vulnerabilidades de Microsoft Outlook Express 5.5 y 6.0 e Internet Explorer 5.01, 5.5 y 6.0, pueden ser descargados de las siguientes direcciones:

El gusano se propaga a través de las siguientes redes de archivos compartidos Peer to Peer:

En cuyas carpetas de descarga libera copias de sí mismo codificadas en formato MIME con los nombres: 

Los payloads de este gusano son:

PER ANTIVIRUS® versión 8.5 con registro de virus al 24 de Febrero del 2004, detecta y elimina eficientemente este gusano.

Ir al menú anterior

Regresar al Portal de PER SYSTEMS