|
W32/Der.B@mm, W32/Vote.F, I-worm.der.B@mm
Der.B es un gusano destructivo, variante del Der, reportado el 30 de Mayo del 2003, de propagación masiva vía Correo con Asuntos y Contenidos aleatorios y dos archivos anexados USA.VS.IRAQ.scr, Plug-In_EXT.dll. Sobre escribe archivos de diversas extensiones y borra los .DLL, dejando inoperativo al sistema.
La muestra fue enviada por un miembro del portal de virus de Indonesia:
http://www.indovirus.net (actualmente clausurado)
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000, está desarrollado en Microsoft Visual Basic 6.0, tiene 116 KB de extensión y requiere que el run-time VB, se encuentre instalado en el sistema para que el gusano pueda ser ejecutado.
Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface) se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS Outlook y a la Libreta Global de Windows WAB (Windows Address Book) con las siguientes características:
Asunto: [nombre_de_destinatario], %cadena% THE WAR HAS STARTED !
La %cadena% puede ser uno de los siguientes
textos elegidos aleatoriamente:
Contenido:
[nombre_de_destinatario], THE WAR IS NOT A JOKE !... THERE IS ONE BUILDING UP RIGHT NOW
Let's Unite In This Horrible Kaos. Win2K... Fight With Us....!!! ...And Let Us Remember Those Lost Souls ! WE COUNT ON YOU ! Win2K Greetings,
World War Veterans.
PS- See Attachments For War Info.
Anexado: USA.VS.IRAQ.scr Plug-In_EXT.dll
Al ejecutar el archivo anexado, el gusano se auto-copia al directorio raíz y
a la carpeta C:\Windows,
cuyo nombre lo tiene contenido dentro de su código viral:
El nombre del directorio Windows está encriptado en el código viral y a veces falla al liberar su copia en NT y 2000, Sin embargo sus otros efectos son ejecutados eficientemente en los demás sistemas operativos Win32.
Para ejecutarse la próxima vez que se inicie el sistema, el gusano crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"W32Tc" = "C:\Windows\WTC32.scr"
Cambia el siguiente valor para ejecutarse cuando el usuario cargue el Internet Explorer:
[HKEY_CURRENT_USER\Software\Microsoft\Internet
Explorer\Main]
"Start Page" = "C:\Windows\WTC32.scr"
Asimismo modifica la información del sistema en la siguiente llave:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
NT\CurrentVersion\Run]
"ProductName" =
"W32.HLLP.I-Worm.WTC.03"
"RegisteredOwner" = "YOU ARE A VICTIM OF THE"
"RegisteredOrganization" = "WORLD TRADE CENTER"
Al activarse el gusano muestra la siguiente caja de diálogo:
Luego inicia su auto-envío masivo variando aleatoriamente el título de las cajas de diálogo desde esta lista:
Del mismo modo lo hace con el Contenido:
Ejemplos:
Etc.
Cada vez que el gusano envía un mensaje, marca este proceso en una llave auto-generada:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion]
WtcSnd = "1"
Luego, busca en todas las unidades de disco los archivos con extensiones .exe y .scr y los sobre-escribe con su código.
También borra todos los archivos con las extensiones .wav, .mp3, .jpg, .bmp, .zip, .rar y .doc, reemplazando cada uno de ellos con su código viral por [nombre_de_archivo_original_extensión.exe]. Ejemplo:
Ejecuta el mismo procedimiento con los archivos de extensión .EXE. Ejemplo:
A continuación borra todos los archivos .DLL
ubicados en la carpeta C:\Windows\System32,
dejando al sistema inoperativo.
Sus payloads
son los siguientes:
PER ANTIVIRUS® versión 8.0 y 8.1 con registro de virus al 30 de Mayo del 2003 detecta y elimina eficientemente este gusano.
Nota: existe una diferencia de 12 horas entre Perú (-5 GMT) e Indonesia (+7 GMT)
