|
W32/Evaman.E@mm, I.worm.Evaman.E@mm
Evaman.E es un gusano reportado el 20 de Septiembre del 2004, con parte del código fuente de Mydoom, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, Asuntos , Contenidos y archivos Anexados aleatorios.El gusano muestra el icono de Internet Explorer y se conecta a un sitio en la web que contiene textos, fotos, videos y artículos irónicos sobre Microsoft y Bill Gates:
Termina determinados procesos en ejecución y a partir del 1o de Diciembre del 2004 apagará el sistema en forma continua cada vez que éste sea re-iniciado.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 23 KB y comprimido con el utilitario PECompact:
http://www.collakesoftware.com/pecompact.htm
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB) o de archivos con las extensiones:
Evitando infectar direcciones que tengan las siguientes cadenas y sub-cadenas:
El mensaje tiene las siguientes características:
Remitente, emplea la técnica Spoofing usando cualquiera de los siguientes nombres:
y uno de estos dominios:
Asunto, aleatoriamente uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, una combinación de las siguientes cadenas:
con una de las siguientes extensiones:
Al activarse el gusano crea el mutex "holla_back_bitches" para evitar activarse en memoria más de una vez. Luego se copia a la carpeta %System% con el nombre de syshosts.exe y para ejecutarse la próxima vez que se re-inicie el sistema agrega la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"MS Updates" = "%System%\syshosts.exe"
En caso de no lograr crearla, el gusano agrega esta otra llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"MS Updates" = "%System%\syshosts.exe"
Como marcador de la infección en el sistema crea la siguiente llave de
registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Syshosts]
%System% es la variable C:\Windows\System
para Windows 95/98/Me, C:\Winnt\System32
para Windows NT/2000 y C:\Windows\System32
para Windows XP y Windows Server 2003.
Al siguiente inicio muestra el icono del Internet Explorer y se conecta a un sitio en la web con contenido irónico, fotografías y artículos acerca de Bill Gates y Microsoft:
El gusano terminará con los procesos que se encuentren activados, que contengan las siguientes cadenas:
Finalmente tiene la instrucción de apagar
el sistema a partir del 1o de Diciembre del 2004 cada vez que éste sea
iniciado.
Sus payloads
son los siguientes:
PER ANTIVIRUS® versiones 8.8 y 8.9 con registro de virus al 20 de Septiembre del 2004 detectan y eliminan eficientemente este gusano.
