|
W32/Nyxem.F@mm, I.worm.Nyxem.F@mm, W32/Kamasutra@mm
Nyxem.F es un destructivo gusano residente en memoria reportado el 26 de Enero del 2006, que se propaga a través de mensajes de Correo con remitentes falsos, asuntos, contenidos y archivos anexados aleatorios.Infecta Windows NT, 2000, XP, Server 2003, está desarrollado en MS Basic, con una extensión de 94 KB y compilado como "pseudo-código" (p-code) y que al ser ejecutado abre un falso WinZip que bloquea el teclado y el mouse.
Deshabilita antivirus y software de seguridad, borra y destruye archivos de determinadas carpetas.
Se propaga además vía recursos compartidos de red con atributos ocultos y privilegios.
Extrae los buzones de las carpetas cache del Internet Explorer con las extensiones:
evitando enviarse a las direcciones que tengan las siguientes cadenas:
haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se envía masivamente en mensajes con las siguiente características:
Asunto:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes con extensión ZIP:
Aleatoriamente el gusano codifica los archivos con el formato MIME (Multi-Purpose Internet Mail Extensions) con los nombres:
siendo los nombres de los archivos dentro de los codificados los siguientes:
Al activarse el gusano se copia a las siguientes rutas y con los nombres:
y para ejecutarse la próxima vez que se re-inicie el sistema agrega la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry" = "%System%\scanregw.exe /scan"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo ejecuta su rutina de envío de mensajes de correo y deshabilita los siguientes programas, en caso estar presentes, al borrar los valores de sus llaves de registro:
Las llaves afectadas son:
Adicionalmente el gusano borra los archivos de las sub-carpetas de la carpeta \Archivos de programa:
el gusano lee además la ubicación de determinados programas ubicados en el registro de Windows y procede a borrar los siguientes:
Cierra también las ventanas de de las aplicaciones con cualquiera de las siguientes cadenas:
El gusano altera las siguientes llaves de registro:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState]
"FullPath" = dword:00000001
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden" = dword:00000000
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"WebView" = dword:00000000
y modifica los archivos del Escritorio Activo para ejecutar una copia de sí mismo de nombre WinZip_Tmp.exe usando los Controles ActiveX.
Para propagarse en las carpetas con recursos compartidos intenta copiarse a sí mismo a las rutas y con los nombres:
simultáneamente borra el archivo de la ruta:
\c$\Documents and Settings\All Users\Start Menu\Programs\Startup\WinZip Quick Pick.lnk
antes de propagarse verifica las computadoras remotas con una de las siguientes carpetas y de hallarlas borra todos los archivos contenidos en las mismas:
el gusano crea también una tarea que programa para que sea ejecutado en las computadoras remotas con privilegios, en el minuto 59 de la hora vigente.
así mismo si la fecha es igual al día 3 de cada mes, al ejecutar el archivo UPDATE.EXE del gusano, los archivos de todas las unidades de disco con las siguientes extensiones, serán destruidos:
el contenido de los archivos es reemplazado con la cadena de texto: "DATA Error [47 0F 94 93 F4 K5]" y cuyo efecto es ejecutado cada 30 minutos después que el archivo UPDATE.EXE del gusano es cargado en la memoria.
A continuación mostramos el código fuente parcial de este simple gusano que provocó mucha alarma por diversos medios de comunicación:
Y su rutina de infección los días 3 de cada mes:
PER ANTIVIRUS® versiones 9.5 y 9.6 con registro de virus al 26 de Enero del 2006 detectan y eliminan este gusano/backdoor.
