MONIKEY gusano de Correo con textos en ruso y P2P intenta descargar archivos impide acceso a webs.  

© Jorge Machado  Lima-Perú

W32/Monikey@mm, I.worm.Monikey@mm

Monikey es un gusano reportado el 03 de Noviembre del 2005, que se  propaga a través de mensajes de Correo con un falso remitente, asunto y contenido con textos en idioma ruso, y es enviado desde un portal de tarjetas postales virtuales con varios enlaces que intentan descargar un archivo infectado.

Termina el proceso loader_name.exe, que es un componente de algunas variantes del gusano Bagle, libera un Keylogger que roba información del sistema y se propaga también vía redes de compatimiento de archivos Peer to Peer.

Modifica el archivo HOSTS para impedir el acceso a sitios web relacionados a software de seguridad y de control.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/Me/NT/2000/XP y Server 2003, desarrollado en MS Visual C++, con una extensión de 84.5KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

El gusano extrae los buzones de la Libreta de Direcciones de Windows o de archivos con las extensiones:

evitando enviarse a las direcciones con las cedenas::

Haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se envía masivamente en un mensaje con la siguiente característica: 

Remitente: postcard service [monica@postcard.ru]
Asunto: [texto_en_ruso] POSTCARD.RU [texto_en_ruso]:

Contenido:

[texto_en_ruso]
http://www.postcard.ru/[removido]/get/?[dígito]
[texto_en_ruso]
http://www.postcard.ru/[removido/
Hello!
You've got a postcard. To view this postcard, click on the
following link at anytime within the next 30 days
http://www.postcard.ru/[removido]/get/?[dígito]
then switch to english version of site, and click on "get my postcard!"
Greeting postcards at
http://www.postcard.ru/[removido/
----------------------------------------------------------------
P.S. [texto_en_ruso] monica@postcard.ru
- [texto_en_ruso].

Al activarse el gusano se copia a las siguientes rutas y con los nombres de archivos:

para ejecutarse la próxima vez que se inicie el equipo agrega las siguientes llaves de registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs" = "%System%\karnal32.dll"
HKEY_CLASS_ROOT\CLSID\[GUID]\InProcServer32
"default" = "%System%\mswshell.exe"

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

C:\ es el directorio raíz de la unidad principal del disco.

crea además la siguiente sub-llave:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\SysBackup

Al siguiente inicio del equipo crea el siguiente Mutex para evitar infectar el sistemas más de una vez:

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
'D'r'o'p'p'e'd'S'k'y'N'e't'
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
[SkyNet.cz]SystemsMutex
AdmSkynetJklS003
____--->>>>U<<<<--____
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

ejecuta su rutina de envío de mensajes de correo y para propagarse a través de redes Peer to Peer busca carpetas con las cadenas "share" y "download" copi'ndose con los siguientes nombres de archivos:

en caso existiese, termina el proceso loader_name.exe, que es un componente de algunas variantes del gusano Bagle.

modifica el archivo HOSTS en la ruta %System%\drivers\etc\hosts para impedir el acceso a las siguientes direcciones:

PER ANTIVIRUS® versión 9.5 con registro de virus al 03 de Noviembre del 2005 detecta y elimina este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS