|
W32/Netsup@mm, I.worm.netsup@mm
 |
Netsup es
un gusano reportado el 31 de Mayo del 2004, sin efectos destructivos, de alta propagación masiva
a través de mensajes de correo con un archivo anexado de
nombre message.eml.pif. También se
difunde vía las populares redes Peer to Peer Kazaa
y Shareaza.
Usa su propio SMTP para enviarse a la Libreta de Direcciones de MS Outlook y en forma aleatoria como NetworkSupport@[dominio_del_remitente] |
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003
Está desarrollado en Visual C++, con una extensión de 21.5 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Los mensajes tienen las siguientes características:
Remitente: se envía a todos los buzones contenidos en la Libreta de Direcciones de MS Outlook y en forma aleatoria usando la técnica Email spoofing, lo hace como NetworkSupport@[dominio_del_remitente]
Asunto, uno de los siguientes:
Contenido:
A message sent could not be delivered to one or more of its recipients correctly. This is a permanent error. Attached is a copy of the original message.
Anexado: message.eml.pif
Al ejecutar el archivo, el gusano se auto-copia a la carpeta %System% como msnmsgs.exe y para activarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"msnmsgs" = "%System%\msnmsgs.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Para infectar a través de la redes Peer to Peer Kazaa o Shareaza se auto-copia a sus correspondientes carpetas con los siguientes nombres:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.6 y 8.7 con registro de virus al 31 de Mayo del 2004 detecta y elimina este gusano.
