W32.Lohack.C@mm, I worm-Lohack.c@mm

Lohack.C es un gusano reportado el 22 de Julio del 2003, variante del Lohack, de alta propagación masiva a través de mensajes de correo con un Asunto, Contenido y archivo Anexado, relacionado a una supuesta actualización para todas las versiones de MS Windows. Se difunde además vía las Redes con recursos compartidos P2P Kazaa e Imesh.  

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 44 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

La muestra fue enviada desde España (+2 GMT). El mensaje tiene estas características:

Al hacer click en el archivo anexado, se auto-copia a las carpetas de descarga de KaZaA e iMesh con los siguientes nombres de archivos:

• Microsoft Excel Password Recovery (All Versions).exe
• Microsoft Word Password Recovery (All Versions).exe
• Microsoft Access Password Recovery (All Versions).exe
• Microsoft Office Password Recovery (All Versions).exe
• Windows Screen Saver Password Recovery (All Versions).exe
• RAR Password Recovery.exe
• ZIP Password Recovery.exe
• ICQ Password Recovery (All Versions).exe
• Emulator Downlaoder.exe
• XBox Secrets.exe
• Microsoft Office XP Key Generator.exe
• Norton Antivirus 2003 Beta Downloader.exe
• Age of Empires 2 Crack.exe
• ICQ Banner Remover.exe
• KaZaA Spyware Remover.exe
• DivX Lastest Beta.exe
• DivX.exe
• KaZaA 2.0 Lastest Beta.exe
• Xuxa nua.exe
• Tiazinha nua.exe
• Britney Spears Nude.exe
• WinRar and Crack.exe
• WinZip 8.0 and Serial.exe
• MIB episode 2 Downloader.exe
• GTA3 Secrets.exe
• GTA3 Crack.exe
• Half-life Secrets.exe
• Warcraft 3 Secrets.exe
• Quake 4 Lastest Beta.exe
• Windows Secrets.exe
• Windows (All Versions) Key Generator.exe
• Windows XP Crack.exe
• Windows XP Serial Generator.exe
• Windows XP Key Generator.exe
• XBox Emulator.exe

Este gusano tiene tres rutinas consecutivas que se ejecutan tan solo una vez. A menos que el usuario haga doble click nuevamente en el archivo infectado. 

Crea un archivo de acceso directo con los nombres de los archivos mencionados, hacia un portal de intercambio de virus.

Para el envío masivo de mensajes, revisa el contenido de las unidades de discos C: y D y extrae las direcciones de de correo en los archivos con las siguientes extensiones:

• *.idx
• *.nch
• *.mdx
• *.dbx
• *.msg
• *.eml
• *.txt
• *.htm

Inmediatamente procede a su rutina de envío masivo de mensajes de correo por medio de las librerías MAPI.