NOFEAR.C, gusano destructivo de Correo y redes P2P. Deshabilita antivirus y Firewalls, infecta archivos, etc.  

© Jorge Machado  Lima-Perú

W32/Nofear.C@mm, W32/Nofer.C@mm, I.worm.Fearso.c

Nofear.C es un gusano destructivo, variante de Nofear.B, reportado el 24 de Junio del 2003, de alta propagación masiva a través de mensajes de correo con Asuntos, Contenidos y archivos Anexados elegidos en forma aleatoria. Estos últimos actúan como un "dropper" ya que libera 3 componentes, asimismo infectan archivos ejecutables en todas las unidades del disco.

También se propaga por las redes Peer to Peer Kazaa y Shareaza. 

El gusano termina los procesos de antivirus, firewalls y archivos asociados que se encuentren instalados dejando al sistema vulnerable a los virus y ataques de hackers.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con extensión variable promedio de 48 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

La muestra fue enviada por un miembro del portal de virus de Indonesia:

http://www.indovirus.net (actualmente clausurado)

Se auto-envía masivamente a los buzones de correo de la Libreta de Direcciones de Windows WAB (Windows Address Book) de Eudora Mail y MSN Messenger haciendo uso del SMTP (Simple Mail Transfer Protocol) instalado en Internet Account Manager o el SMTP mail.ru. 

Los mensajes tienen las siguientes características:

Asunto, elegido de una de las frases:

Contenido, uno de los siguientes:

Anexado: nombre de archivo de doble extensión con uno de los siguientes nombres:

Primera extensión:

Segunda extensión: 

Al ejecutar el archivo anexado, el gusano muestra una de las siguientes falsas cajas de diálogo:

Al hacer click en "OK", libera y auto-copia al directorio %Windir% los siguientes componentes:

"%Windir%\[nombre_aleatorio].exe" (copia del gusano, con una extensión de 48 KB) 
"%Windir%\kernel.dll" (componente de 70 KB) 
"%Windir%\svchost.exe" (copia del gusano, con una extensión de 48 KB) 

Para ejecutarse la próxima vez que se inicie el sistema crea la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nombre_aleatorio" = "%Windir%\nombre_aleatorio.exe"

Para almacenar la información extraída, genera las siguientes llaves:

[HKEY_LOCAL_MACHINE\SOFTWARE\[nombre_aleatorio] "0"]
[HKEY_LOCAL_MACHINE\SOFTWARE\[nombre_aleatorio] "1"]
[HKEY_LOCAL_MACHINE\SOFTWARE\[nombre_aleatorio] "2"]
[HKEY_LOCAL_MACHINE\SOFTWARE\[nombre_aleatorio] "email_num"]
[HKEY_LOCAL_MACHINE\SOFTWARE\[nombre_aleatorio] "Sent"]

 %Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.

[nombre_aleatorio] está compuesto por una cadena de caracteres alfabéticos en mayúsculas y minúsculas.  

Una vez activado, el gusano terminará los procesos de los siguientes antivirus o firewalls que se encuentren instalados en el sistema infectado:

Para infectar a través de Kazaa, el gusano se auto-copia con los nombres de archivos conformados por los 3  componentes a la carpeta %Windir%\Drivers y modifica el directorio de descarga en el registro:

[HKEY_CURRENT_USER\Software\Kazaa\LocalContent]
 "Dir0" = "012345:%Windir%\Drivers"

Para la propagación a través de Shareaza el gusano se auto-copia con los nombres de archivos conformados por los 3 componentes a la carpeta C:\My Downloads y modifica la llave de registro al igual que el caso anterior, pero apuntando a la carpeta de Shareaza. 

Las copias son nombres de archivos aleatorios, resultantes de la combinación de 3 componentes: 

Componente 1, elegido aleatoriamente de:

Componente 2, uno de las siguientes alternativas:

Componente 3, elegido aleatoriamente de:

Ejemplo: ZoneAlarm Firewall ISO Crack.exe

También infecta archivos con extensión .EXE, a los cuales inserta su código viral en la cabecera de los mismos dejándolos dejándolos inoperativos.

Finalmente el gusano libera e inserta el archivo KERNEL.DLL dentro del proceso del EXPLORER.EXE para vulnerar los Firewalls personales. 

Sus payloads son los siguientes:

PER ANTIVIRUS® versión 8.1 con registro de virus al 24 de Junio del 2003 detecta y elimina eficientemente este gusano.

Nota: existe una diferencia de 12 horas entre Perú (-5 GMT) e Indonesia (+7 GMT) 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS