|
W32/Netsky.G@mm, I-worm.netsky.G@mm
 |
Netsky.G es un gusano variante de la familia Netsky, de alta propagación a través de mensajes de Correo, reportado el 05 de Marzo del 2004 con un archivo binario anexado de nombre aleatorio con extensión .PIF o .ZIP En caso que el sistema esté infectado con los virus Mydoom, Mydoom.B, Mymail.T, Netsky.A, Netsky.B, Deadhat.B, Nachi.B, Nachi.C, Parite.A, Bagle.A hasta el Bagle.K, los desactiva borrando los valores de sus llaves de registro. |
Emplea la técnica Email spoofing, que disfraza las verdaderas direcciones de los Remitentes.
Los Asuntos, Contenidos y archivos Anexados son aleatorios.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP, está desarrollado en Visual C++ con una extensión de 27 KB y comprimido con el utilitario tElock:
http://www.softpedia.com/public/cat/5/2/5-2-6.shtml
Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en archivos con las siguientes extensiones:
Tiene instrucciones para evitar enviarse a direcciones que tengan las siguientes cadenas:
Emplea el DNS (Domain Name Server) local, extraído a través de un comando API y en caso que este no funcione usa una lista de DNS, cuya siguiente relación se encuentra cifrada en su código viral:
Los mensajes tienen estas características:
Remitente, usa la técnica Spoofing con nombres de Remitentes falsos.
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, elegidos aleatoriamente de la siguiente lista:
Estos archivos también pueden estar comprimidos en formato .ZIP
Al ser activado se auto-copia al directorio %Windir% con el nombre avguard.exe y para ejecutarse la próxima vez que se inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Special Firewall Service" = "%Windir%\avguard.exe -av service"
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
El gusano borra los valores de los registros asociados a los siguientes virus:
Mydoom.A[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Taskmon
Mydoom.B
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Explorer
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
Explorer
[HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
MyMail.T[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
KasperskyAv
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
KasperskyAv
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
service
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
msgsvr32
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services]
WksPatch
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer]
PINF
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
d3dupdate.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
au.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
gouday.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
rate.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
ssate.exe
Este gusano también borra los siguientes registros que pudiesen ser utilizados por otros virus:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
system
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
system
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
DELETE ME
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
OLE
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Sentry
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Windows Services Host
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
Windows Services Host
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
sysmon.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
sate.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
srate.exe
El 10 de Marzo entre las 06:00 AM y 08:00 AM el gusano genera sonidos "beep" intermitentes.
Dentro de su código se puede leer esta cadena de texto:
| Netsky AntiVirus - Give up, bagle & mydoom, dude! You are fucking your mother! I want to meet you in the U,S.A, Road-App time enc:[fg.od.jgij], and the you will know what pain is |
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.5 con registro de virus al 05 de Marzo del 2004 detecta y elimina eficientemente este gusano.
