Duksten.O, gusano español de propagación masiva con diversos Asuntos, Contenidos y archivos Anexados. 

© Jorge Machado  Lima-Perú

W32.Duksten.O@mm, I.worm.Duksten.O@mm

Duksten.O es un gusano variante del Duksten, reportado 23 de Mayo del 2002 que se propaga en mensajes de correo con diversos Asuntos, Contenidos y archivos Anexados.

Posee su propio SMTP (Simple Mail Transfer Protocol) y se auto-envía a todos los buzones de la Libreta Global de Windows WAB (Windows Address Book). 

El gusano también intenta conectarse a un canal específico en un servidor IRC (Internet Chat Relay) remoto, pero debido a errores en su programación no logra este objetivo. Al parecer ha sido desarrollado en España a partir de un código fuente difundido en algunos sitios en Internet.  

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003 y está desarrollado en Assembler, con una extensión de 22 KB. 

Los mensajes tienen las siguientes características: 

Asunto, uno de los siguientes: 

Contenido, uno de los siguientes: 

Anexado: un archivo con uno de los siguientes nombres:

Al ejecutar el archivo anexado, el gusano se auto-copia al directorio %Windir% y a la carpeta %System% y para activarse la próxima vez que se inicie el sistema el sistema el gusano crea las siguientes llaves de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"mIrcProTecTor" = "%nombre_de_archivo%" 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"mIrcProTecTor" = "%nombre_de_archivo%" 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
"mIrcProTecTor" = "%nombre_de_archivo%"

%nombre_de_archivo% es la variable que representa el nombre del archivo anexado que infectó el sistema.

En el siguiente re-inicio del sistema, el gusano crea un archivo con extensión .ZIP, que es una copia de sí mismo, con uno de los nombre de los archivos antes mencionados:

%System%\nombre_de_archivo.ZIP

Luego crea una copia del gusano, con extensión .ZIP, en formato de codificación Base64:

%System%\BASE64.XRF 

La codificación Base64 es un complejo diseño de secuencias arbitrarias de octetos en un formato que no puede ser leído normalmente. Para este propósito se emplea un sub-categoría de 65 caracteres [A-Za-z0-9+/=] de codificación ASCII (American Standard Code for Information Interchange), habilitando 6 bits para ser representados por caracteres imprimibles. 

Asimismo el gusano se auto-copia al menú de Inicio de Windows con uno de los siguientes nombres:

También se copia a la carpeta Mis documentos, con uno de los siguientes nombres:

Los payloads de este gusano son:

PER ANTIVIRUS® versiones 8.0 y 8.1 con registro de virus al 23 de Mayo del 2003 detectan y eliminan eficientemente este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS