|
W32/Netsky@mm, I-worm.netsky@mm
Netsky es un gusano de Correo y redes compartidas Peer to Peer, reportado el 17 de Febrero del 2004, que se propaga con un archivo de nombre Services.exe, el mismo que actuando como dropper libera una gran cantidad de archivos con extensión ZIP.
Emplea la técnica Email spoofing, que disfraza las verdaderas direcciones de los Remitentes, y los archivos anexados son elegidos aleatoriamente de una lista cifrada dentro del código del virus.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP, está desarrollado en Visual C++ con una extensión de 21 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado, contenidas en archivos con las siguientes extensiones:
Los mensajes tienen estas características:
Remitente: uno de los siguientes:
Asunto: "Auction successful!"
Contenido:
| #----------------- message was
sent by automail agent ------------------# Congratulations! You were successful in the auction. Auction ID [número_aleatorio] Product ID [número_aleatorio] A detailed description about the product and the bill are attached to this mail. Please contact the seller immediately. Thank you! |
Anexado, elegidos aleatoriamente de la siguiente lista cifrada:
Al ser ejecutado el archivo infectado muestra la siguiente caja de diálogo:
Luego se auto-copia al directorio %Windir% con el nombre Services.exe y libera los siguientes archivos en esa misma ruta:
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
Los archivos empaquetados en formato ZIP contienen una muestra del virus, el cual usa el mismo nombre de archivo anexado únicamente si tiene una de las siguientes extensiones:
Para ejecutarse la próxima vez que se inicie el sistema crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Service" =
"%Windir%\Services.exe -serv"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Service" =
"%Windir%\Services.exe -serv"
Para propagarse a través de las redes Peer to Peer se copia a todas las carpetas de descarga de aquellas que se encuentren instaladas, con los siguientes nombres:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.5 con registro de virus al 17 de Febrero del 2004 detecta y elimina eficientemente este gusano.
