|
W32/Eliles@mm
Eliles es un destructivo gusano reportado el 17 de Abril del 2007, residente en memoria, codificado en España, que se propaga en mensajes de correo MultiSPAM, infecta el Administrador de Tareas y deshabilita la mayoría de procesos de seguridad del sistema operativo.
Los remitentes son falsos, asuntos aleatorios y un solo contenido. Su archivo anexado está comprimido y se desempaqueta en la memoria.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP y Server 2003. Está desarrollado en Visual C++ con una extensión de 89.5KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Posee su propio SMTP (Simple Mail Transfer Protocol) y extrae los buzones de correo de la Libreta de Direcciones de Windows WAB (Windows Address Book) o de los archivos con las siguientes extensiones:
El mensaje tiene las siguientes características:
Remitente: una de las direcciones extraídas del sistema o las siguientes falsas direcciones:
Asunto: uno de los siguientes:
Contenido:
From: EvaMaria_Lopez@tecnocasa.com, LopezTarrega@tecnocasa.com, Franquicia2@tumejorhogar.com.
To: davidelnomo@ono.com, jeronimo25@wanadoo.es , lalore_23@hotmail.com, elbueno_feo@hotmail.com, sanchezpardo@teleline.es , isabel_1980@hotmail.com.
Generalmente, es la mujer la que se sube encima del hombre. Pero... la historia cambiara para siempre...... No intenteis hacerlo con vuestra pareja!!!
Anexados: %Windir%\Fonts\El_Perfecto_69.zip
Al ser activado el gusano se copia a las siguientes rutas, con los nombres:
libera además los archivos:
Para ejecutarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion \winlogon]
"shell" = "explorer.exe %Windir%\pchealth\helpctr\binaries\msn.exe"
%SystemDrive% representa a la unidad donde Windows se encuentra instalado, que por defecto es la unidad C:\
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
al siguiente inicio del equipo el gusano ejecuta su rutina MultiSPAM, luebo infecta la cabecera del Adminsitrador de Tareas:
%System%\taskmgr.exe
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
para deshabilitar los procesos de seguridad del sistema crea las siguientes sub-llaves:
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"disableregistrytools" = "1"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"disabletaskmgr" = "1"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"noadminpage" = "1"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\winoldapp]
"disabled" = "1"
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"nodrives" = 3ffffff
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"norun" = 1
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"firewalldisablenotify" = "1"
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"antivirusoverride" = "1"
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"updatesdisablenotify" = "1"
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"antivirusdisablenotify" = "1"
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"firewalloverride" = "1"
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion]
"registeredowner" = "Eliles.B&xAE;"
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion]
"registeredorganization" = "Carpe Diem Leslie."
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\systemrestore]
"disablesr" = "1"
PER ANTIVIRUS® versiones 10.0 y 10.1 con registro de virus al 17 de Abril del 2007 detectan y eliminan eficientemente este gusano.
