|
Win32/MyPower.B@MM, MyPower.B@MM, Win32/MyPower.A@MM, MyPower.A@MM,
MyPower.B, es un gusano reportado el 27 de Junio del 2002, variante de MyPower.A, que se propaga masivamente por medio de mensajes de correo que contienen Asuntos, Archivos anexados, con una extensión de 28 KB (que puede variar) y Contenidos elegidos aleatoriamente, auto-enviándose a todos los buzones de la Libreta de Direcciones de Windows (WAB).
MyPower.A está programado en Visual Basic y es un PE (Portable Ejecutable) que infecta los sistemas Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000. Está comprimido con el PEPak.
http://arctest.narod.ru/self/pepack.htm
MyPower.B está programado en Visual C++ y es un PE (Portable Ejecutable) que infecta los sistemas Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000.
La diferencia substancial entre ambos gusanos consiste en que MyPower.A contiene archivos anexados aleatorios con extensión .ZIP.scr y .scr, en cambio MyPower.B tiene archivos anexados con extensión .EXE
Remitente:
Usa cualquier nombre obtenido del sistema infectado.
Asunto:
Es elegido en forma aleatoria conformando frases de la siguiente lista:
El archivo anexado de MyPower.B es elegido en forma aleatoria entre uno de los siguientes:
El archivo anexado de MyPower.A es elegido en forma aleatoria entre uno de los siguientes:
El cuerpo del mensaje es elegido de cualquiera de estos 7 textos::
Ejemplo de mensaje:
Al ejecutar el archivo infectado, se muestra en pantalla la siguiente caja de diálogo:
Al hacer clic en el botón "Abort" el gusano se auto-copia a las siguientes rutas:
%System%
es una variable a la cual se auto-copia el gusano y que por defecto es
C:\Windows\System o C:\Winnt\System32.
Para ejecutarse la próxima vez que se inicie el sistema MyPower.B agrega el valor:
I386 C:\%System%\I386.exe
a la llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Después que el gusano se auto-envía masivamente, agrega la siguiente sección en el archivo:
C:\Windows\Win.ini:
[EMAIL]
MAILED=TRUE
WORM NAME= I-Worm.Iwing
MY STATUS= IS HERE..!
MY LINKS= http://www.indovirus.net
Inmediatamente después borra los
siguientes archivos previamente creados:
Dentro de su código viral, no visible para el usuario, se puede leer:
I'm The Power..!
iwing@softhome.net - shadow_chaser@telkom.net
Greetingz to Bcvg, Ikx, virusindo, 29A, Coderz, and all Virus Writer I-WORM.Iwing
(C) by. INDOVIRUS Writen By. Iwing
Se puede presumir que el autor de ambos gusanos, es un miembro que alterna en varias comunidades de creadores de virus entre ellas Coderz y 29A, cuyos portales actualmente se hayan clausurados.
MyPower.B no tiene un payload destructivo, pero su alto grado de propagación puede saturar servidores de Correo y LAN, pudiendo ocasionar una negación de Servicio DoS (Denial of Service).
MyPower.A tiene un payload destructivo, que borra archivos de las carpetas de Windows y Mis Documentos, con las siguientes extensiones:
PER ANTIVIRUS® versión 7.5 con registro de virus al 27 de Junio del 2002 detecta y elimina eficientemente este gusano y sus variantes.
