|
W32/Mimail.J@mm, I.worm.mimail.j@mm
 |
Mimail.J es
un gusano residente en memoria, variante de la familia Mimail,
reportado el 18 de Noviembre del 2003, de alta propagación masiva a través de mensajes de correo con un
archivo anexado elegido aleatoriamente de uno de los nombres:
www.paypal.com.pif
o
InfoUpdate.exe.
El contenido del mensaje informa que la cuenta del popular portal de pagos en línea PayPal va a expirar en 5 días e invita a actualizar su información. |
Simulando contener dos formularios de PayPal el gusano roba información de las tarjetas de crédito, la misma que será enviada a diversas direcciones de correo.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con 13.5 KB de extensión y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El gusano emplea el SMTP (Simple Mail Transfer Protocol) del dominio del receptor del mensaje de correo. El mensaje tiene las siguientes características:
Usa la técnica Email spoofing, que reemplaza el nombre del Remitente.
Remitente: Do_Not_Reply@paypal.com
Asunto: IMPORTANT [cadena_de_caracteres_aleatorios]
Contenido:
|
Dear PayPal member, We regret to inform you that your account is about to be expired in next five business days. To avoid suspension of your account you have to reactivate it by providing us with your personal information. To update your personal profile and continue using PayPal services you have to run the attached application to this email. Just run it and follow the instructions. IMPORTANT! If you ignore this alert, your account will be suspended in next five business days and you will not be able to use PayPal anymore. Thank you for using PayPal. |
Anexado: uno de los siguientes:
Al ser ejecutado el archivo infectado, se auto-copia al directorio %Windir% con el nombre de Svchost.exe y
para ejecutarse la próxima vez que se re-inicie el sistema, modifica la siguiente llave de registro:%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
El gusano libera además los siguientes archivos:
Estos archivos conformarán los falsos formularios web de PayPal y otros almacenarán los buzones de correo capturados para ser enviadas a diversos E-mail.
Al siguiente reinicio, el gusano muestra una primera falsa pantalla de "Registro Seguro de PayPal" que solicita la siguiente información:
Cuando se llena la información solicitada, muestra una segunda pantalla que pide las siguiente información:
Una vez llenado el formulario,
el gusano almacena la información en el archivo ppinfo.sys
e intenta acceder al dominio
http://www.akamai.com
para comprobar si el
sistema infectado está conectado a Internet y si lo comprueba procede a ejecutar su
rutinas de propagación y payloads.
Envía la información capturada a diversas direcciones de correo:
El gusano revisa y captura las direcciones de correo del cache del Explorer contenidas en la siguiente llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]
A excepción de los archivos con las siguientes extensiones:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.3 y 8.4 con registro de virus al 18 de Noviembre del 2003 detecta y elimina eficientemente este gusano.
