|
W32/Salga@mm, I.worm.Salga@mm
 |
Salga es
un destructivo gusano, reportado el 1o de
Diciembre del 2004, de propagación masiva en mensajes de
correo con diversos formatos de Asuntos y Contenidos
elegidos en forma aleatoria con un archivo Anexado de nombre Britny
spears marrage with Bnladensun.zip.
Se propaga por el el IRC, redes con recursos compartidos y Peer to Peer. |
Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface) se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS Outlook.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual Basic con extensión variable y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El mensaje tiene las siguientes características.
Asunto: Nicole kidman secrets'
Contenido: Hi,this is secret files of <<Nicole Kidman>>
contain her sexy photoes in Florida,her credits ,part of her new film {Bn-laden
days} and her telephones numers with here email.....see it and replay us please
..... it is very interesting secret files ..bibi
Asunto: BRITNY SPEARS MARRAGE
Contenido: Hi,this is secret files of <<Britny spears>>
contain her marrage photoes in
texas,part of her marrage party and her reactions about madona.....see it and
replay us please ..... it is very interesting secret files ..bibi
Asunto: Is Bnladen realy cow boy
Contenido: Hi: mr or miss some amricans say befor 20 yrs Bnladen was
cow boy these photoes and parts of vidioes prove it <<photos and vedioes
in attachement file>>
Asunto: Chance for holyday
Contenido: If u you want to have anice holyday you must call us at
this adress USA MITCHGEN and we will give greate offer details in this
attachment
Asunto: To contact new friends
Contenido: Hi:miss or mr you can contact new friends all ever the
world deatails in attachmment file
Asunto: New version of kasper fire wall
Contenido: this is the new update and last version of kasper fire
wall it contains more and new advantages
Asunto: SEXY FILES
Contenido: This attachmment contain very hard sexy photos with part
of sexy films interest and replay us
Asunto: BRITNY SPEARS MARRAGE
Contenido: Hi;this is some photoes of Britney Spears marrage with
Bnladen son in flash file so<<<<if the winzip file not run you must
change the extention to exe to execute it
Adjunto: Britny spears marrage with Bnladensun.zip
Una vez ejecutado el gusano el archivo se desempaqueta en memoria y se auto-copia a las rutas:
Para ejecutarse la próxima vez que se re-inicie el sistema el gusano crea las siguientes llaves:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"system xp"
= "%Windir%\acdsee demo.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"windows" =
"%System%\system copy.exe"
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio el gusano sobre-escribe los siguientes archivos en las rutas:
enviando a los usuarios que se conecten a una misma sesión de Chat una copia de sí mismo con el nombre de:
Britny spears marriage with Bnladen son.zip.exe
El gusano crea también las siguientes carpetas:
Se auto-copia en las siguientes rutas y con los nombres:
Crea el archivo autorun.inf
en la unidad D:\ con las siguientes líneas:
[autorun]
open=FUN.ZIP.EXE
Crea el archivo autorun.inf en la unidad E:\
con las siguientes líneas:
[autorun]
open=Messenger 9.00.ZIP.EXE
Para infectar a través de KaZaa crea la carpeta (en caso no existir)
C:\Archivos de programa\Kazaa\My Shared Folder\Shared y se copia con los nombres:
Luego agrega la siguiente llave de registro:
[HKEY_CURRENT_USER\Software\Kazaa\Transfer\StartKazaa]
"-SilentRun" = "C:\Archivos de
programa\Kazaa\My Shared Folder\Shared"
Y se copia a todas las carpetas y sub-carpetas que contengan la cadena "shar"
con los nombres:
Asimismo se auto-copia a las rutas de atributos compartidos ocultos, con los nombres:
Crea una red compartida llamada "Britny"
la cual apunta a C:\Britny.
Seguidamente envía el siguiente mensaje a otros usuarios:
Remitente: [nombre_del_sistema_infectado]
Destinatario: [grupo_de_trabajo] en [fecha/hora]:
Asunto:
* hi welcome in our
network you can see the new film of Britny spears from the computer which shown
it is very interesting film or see it also from any shared folder <<habby
interesting time in our net cafe bi>>
Abre una ventana en el navegador hacia:
http://www.originalicons.com/?oi=funnyphotos.php?emailfrom=mgasalgya_4ever@hotmail.com!,
etc.
que lleva a una página de gráficos de toda clase incluyendo Triple X.
Crea el archivo D:\new
computer worm alert\virus alert.txt, con el texto:
your computer have been infected by:-
Egywormo[gen1]
this worm may lead to increase hard disk space,slow your system and also can
destroy your c:\ drive
aim of this worm is catching more victems and give them ip and some email
details then destroy hard space with system exclusion
creation by XP10 VIRUS MASTER
contact us in [mgasalgya_4ever@hotmail.com]
Finalmente usa las direcciones de Microsoft Outlook para enviar mensajes con las
siguientes características:
PER ANTIVIRUS® versión 9.0 con registro de virus al 1o de Diciembre del 2004 detecta y elimina este gusano.
