NUWAR.EL gusano de correo termina procesos de antivirus, deshabilita firewall de Windows y acceso compartido, etc.  

© Jorge Machado  Lima-Perú

W32/Nuwar.EL

Nuwar.EL es un gusano reportado el 29 de Enero del 2007 residente en memoria, que se propaga a través de mensajes de Correo, con remitentes falsos, contenido en blanco, asuntos y archivos anexados aleatorios.

Termina procesos de antivirus, firewalls y software de control, deshabilita el Firewall de Windows y el Acceso Compartido al sistema. 

Sobre-escribe su código viral en todos los archivos con extensiones .EXE y .SCR.

Es un PE (Portable Ejecutable) infecta Windows 98/Me/NT/2000/NT/XP y Server 2003, está desarrollado en Visual C++ con una extensión de 49.5KB y comprimido con rutinas propias.

A través de su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo extraidas de la Libreta de Direcciones de Windows (WAB) o usando uno de los siguientes nombres:

Los mensajes tienen las siguientes características:

Remitente: emplea técnica Spoofing, para disfrazar las direcciones de los remitentes.

Asunto: uno de los siguientes:

Contenido: [en_blanco]

Anexado: uno de los siguientes:

Al ser activado se copia a siguientes a la carpeta %System% con el nombre de Alsys.exe, además libera un archivo de nombre aleatorio con extensión .EXE en esa misma carpeta.

para ejecutarse la próxima vez que se re-inicie el sistema modifica las siguientes llaves de registro: 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"agent" = "%System%\alsys.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"agent" = "%System%\alsys.exe"

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

para deshabilitar el Firewall de Windows y el Acceso Compartido al sistema modifica la sub-llave:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]
"Start" = "4"

al siguiente inicio del equipo el gusano termina los procesos de los siguientes software de seguridad: 

luego busca todos los archivos con extensiones .EXE y .SCR en el sistema infectado y les inserta su código viral, agregándole la letra [t] a cada nombre de archivo, para auto-ejecutarse en forma automática y aleatoria..

Finalmente libera copias de sí mismo en cada carpeta que contenga archivos con extensiones .EXE y .SCR las mismas que usarán un nombre de archivo aleatorio. 

PER ANTIVIRUS® versiones 9.9 y 10.0 con registro de virus al 29 de Enero del 2007 detectan y eliminan este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS