|
W32/KIPIS.O@mm, I.worm.kipis.O@mm
Kipis.O es un gusano reportado el 25 de Febrero del 2005, de propagación masiva a través de mensajes de Correo con remitentes disfrazados bajo la técnica Spoofing, asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.Se propaga además a través de diversas redes Peer to Peer.
Invoca también a los servidores MS Exchange de las direcciones capturadas, agregándoles ciertas cadenas y los utiliza como "Relay"
para continuar infectando.
Al ser ejecutado muestra un archivo *.TXT con caracteres "basura" abierto con el NotePad.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 12 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de MS Outlook o de los archivos con las siguientes extensiones:
evita enviarse a las direcciones con las siguientes cadenas:
El mensaje tiene las siguientes características:
Remitente, emplea la técnica Email spoofing o usa aleatoriamente los buzones extraídos del sistema.
Asunto, aleatoriamente uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes:
Con una de las siguientes extensiones:
Al ser ejecutado muestra un archivo *.TXT con caracteres "basura" abierto con el NotePad:
y se copia a las siguientes rutas con los nombres de:
libera además a la carpeta %System% el archivo MSVC50B.ZIP que es una copia comprimida del gusano.
para ejecutarse la próxima vez que se re-inicie el sistema en Windows NT/2000/XP modifica el vínculo Explorer shell en la llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe %System%\1032\svchost.exe"
En Windows 95/98/Me modifica el SYSTEM.INI:
SYSTEM.INI
[windows]
Shell = "Explorer.exe %System%\1032\svchost.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
luego invoca a los servidores MS Exchange de las direcciones capturadas, agregándoles las siguientes cadenas:
por ejemplo, al obtener la dirección soporte@midominio.com, el gusano invoca a los siguientes servidores:
y de encontrarlos disponibles los usará como "relay" para continuar propagándose.
Para difundirse vía Peer to Peer busca las carpetas que tengan la cadena "Sh" o "share" que corresponden por lo general a Kazaa, Morpheus, iMesh, eDonkey, LimeWire, etc. y se copia a las mismas con los nombres:
PER ANTIVIRUS® versión 9.1 con registro de virus al 25 de Febrero del 2005 detecta y elimina eficientemente este gusano.
