|
W32/Netsky.Z@mm, I-worm.netsky.Z@mm
 |
Netsky.Z es
un gusano/backdoor variante de la
familia Netsky, de
alta propagación a través de mensajes de Correo, reportado el 22 de
Abril
del 2004 con un archivo Anexado de nombre aleatorio con
extensión .ZIP.
Los Asuntos son aleatorios y el Contenido es construido con el nombre del Anexado con la extensión .TXT, seguido de espacios en blanco y la extensión .EXE. |
Abre el puerto TCP 665 a través del cual descarga y ejecuta archivos en los sistemas infectados, pudiendo tomar control de los mismos en forma remota.
Del 02 al 05 de Mayo intenta ocasionan ataques de Negación de Servicio (DoS) a 3 portales de la web.
Emplea la técnica Email spoofing, que disfraza las verdaderas direcciones de los Remitentes.
Los Asuntos, Contenidos y archivos Anexados son aleatorios.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/XP, está desarrollado en Visual C++ con una extensión de 22 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables), el mismo que ha sido modificado.
Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en archivos con las siguientes extensiones:
Los mensajes tienen estas características:
Remitente, usa la técnica Spoofing con nombres de Remitentes falsos.
Asunto, uno de las siguientes cadenas de texto:
Contenido, es un mensaje construido con el nombre del archivo Anexado con la extensión .TXT, seguido de espacios en blanco y la extensión .EXE:
Anexado, uno de los siguientes:
Al ser activado el gusano el gusano crea el mutex (Exclusión Mutua) (S)(k)(y)(N)(e)(t) para evitar ser ejecutado en memoria más de una vez.
Luego se auto-copia al directorio %Windir% con el nombre Jammer2nd.exe y para ejecutarse la próxima vez que se inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Run
Jammer2nd" = "%Windir%\Jammer2nd.exe"
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
Emplea el DNS (Domain Name Server) local, extraído a través de un comando API y en caso que este no funcione usa una lista de DNS, cuya siguiente relación se encuentra cifrada en su código viral:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.6 con registro de virus al 22 de Abril del 2004 detecta y elimina eficientemente este gusano/backdoor.
