NUWAR.CQ gusano de Correo termina procesos de antivirus, deshabilita firewall de Windows acceso compartido, etc.  

© Jorge Machado  Lima-Perú

W32/Nuwar.CQ

Nuwar.CQ es un gusano reportado el 22 de Enero del 2007 residente en memoria, que se propaga a través de mensajes de Correo, con remitentes falsos, contenido en blanco, asuntos y archivos anexados aleatorios.

Termina procesos de antivirus, firewalls y software de control, deshabilita el Firewall de Windows y el Acceso Compartido al sistema. 

Sobre-escribe su código viral en todos los archivos con extensiones .EXE y .SCR.

Es un PE (Portable Ejecutable) infecta Windows 98/Me/NT/2000/NT/XP y Server 2003, está desarrollado en Visual C++ con una extensión de 46KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

A través de su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo extraidas de la Libreta de Direcciones de Windows (WAB) o usando uno de los siguientes nombres:

Los mensajes tienen las siguientes características:

Remitente: emplea además la técnica Spoofing, para disfrazar las direcciones de los remitentes.

Asunto. uno de los siguientes:

Contenido: [en_blanco]

Anexado, uno de los siguientes:

Al ser activado se copia a siguientes a la carpeta %System% con el nombre de Alsys.exe, además libera un archivo de nombre aleatorio con extensión .EXE en esa misma carpeta.

para ejecutarse la próxima vez que se re-inicie el sistema modifica las siguientes llaves de registro: 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"agent" = "%System%\alsys.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"agent" = "%System%\alsys.exe"

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

al siguiente inicio del equipo el gusano busca todos los archivos con extensiones .EXE y .SCR en el sistema infectado y les inserta su código viral para ejecutar una copia de sí mismo en forma automática y aleatoria.

Luego libera copias de sí mismo en cada carpeta que contenga archivos con extensiones .EXE y .SCR las mismas que usarán un nombre de archivo aleatorio. 

para deshabilitar el Firewall de Windows y el Acceso Compartido al sistema modifica la sub-llave:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]
"Start" = "3"

al siguiente inicio del equipo el gusano termina los procesos de los siguientes software de seguridad: 

PER ANTIVIRUS® versiones 9.9 y 10.0 con registro de virus al 22 de Enero del 2007 detectan y eliminan este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS