|
W32/Grew.B@mm, I.worm.Grew.B@mm
Grew.B es un destructivo gusano de correo reportado el 20 de Enero del 2006 que se propaga en mensajes con asuntos y contenidos aleatorios y archivos anexados con una o doble extensión. Es un "dropper" que libera otros archivos.Se difunde además en las redes con recursos compartidos configuradas con contraseñas débiles.
Borra archivos DLL y EXE de carpetas pertenecientes a determinados software antivirus. Borra además las entradas de inicio de llaves de registro de software antivirus.
Oculta archivos con atributos de "Solo-lectura" y "Sistema" y deshabilita el mouse y teclado.
Infecta Windows 98/NT/2000/XP y Server 2003, está desarrollado en MS Visual C++, con una extensión de 63.5KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El gusano extrae los de la Libreta de Direcciones de Windows (WAB) y de archivos con las extensiones:
Haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se envía masivamente en mensajes con las siguientes características:
Remitente: los extraídos del sistema infectado o con direcciones falsas (Spoofing).
Asunto, uno de los siguientes:
Contenido, cualquiera de los siguientes:
Anexado, uno de los siguientes:
Al hacer click en el archivo infectado éste se copia a la carpeta %System% como Sample.zip y libera los archivos en las rutas:
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Para ejecutarse la próxima vez que se re-inicie el sistema crea la llave de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"ScanRegistry" = "%System%\scanregw.exe/scan"
en Windows 98 crea la llave:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry" = "%Windows%/scanregw.exe/autorun"
en Windows 2000/XP y Server 2003 libera una copia de si mismo con el nombre de WINZIP QUICK PICK.EXE en la carpeta %Startup%
%Startup% es una variable que corresponde a C:\Windows\Menú Inicio\Programas\Inicio en Windows 95/98/Me/XP y a C:\Documents and Settings\carpeta_del_usuario\Menú Inicio\Programas\Inicio en Windows NT\2000\XP.
para ocultar archivos con los atributos de "Solo-lectura" y "Sistema" modifica la llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden" = "dword:00000000"
su valor por defecto es "dword:00000001"
Al siguiente inicio del sistema activa sus rutinas de envío masivo de mensajes y borra las entradas de inicio de llaves de registro relacionadas a software antivirus:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
también borra los archivos con extensión DLL y EXE ubicados en las siguientes carpetas de software antivirus:
Luego rastrea las carpetas de las redes con recursos compartidos configuradas con contraseñas débiles y de ingresar libera una copia de sí mismo con el nombre de WINZIP_TMP.EXE a los recursos:
PER ANTIVIRUS® versiones 9.5 y 9.6 con registro de virus al 20 de Enero del 2006 detecta y elimina este gusano.
