|
W32/Sndog@mm, I.worm.Sndog@mm
 |
Sndog
es un gusano
reportado el 22 de Septiembre del 2004,
que se propaga a través mensajes de correo con Asuntos,
Contenidos y archivos Anexados aleatorios y vía la mayoría de redes Peer
to Peer.
Cambia la página de Inicio de Internet Explorer y aunque no tiene efectos nocivos se distribuye masivamente en paises de habla hispana. |
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003 programado como Visual Basic Script con extensión variable.
Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface) se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS Outlook y a la Libreta Global de Windows WAB (Windows Address Book).
Los mensajes tienen estas características:
Asunto, uno de los siguientes:
Contenido: los textos son una
combinación aleatoria de los asuntos.
Anexados, uno de los siguientes:
Al ser activado se copia al directorio %Windir%
como csrss.exe con el atributo de
"oculto".
%Windir% es una variable que corresponde
a C:\Windows en Windows
95/98/Me/XP/Server 2003 y C:\Winnt en
Windows NT\2000.
Se copia a sí mismo en la carpeta %Temp%
con uno de los archivos anexados.
%Temp%
es la variable C:\Windows\Temp en
Windows 95/98/Me, C:\Winnt\Temp en
Windows NT\2000 y C:\Document and
Settings\[nombre_de _usuario]\Local Settings\Temp en Windows
XP/Server 2003.
También se copia a la unidad A:\ como:
Para ejecutarse la próxima vez que se
re-inicie el sistema crea la siguiente llave:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Shockwave" = "%Windir%\csrss.exe"
Revisa todas las unidades de disco buscando
los archivos con extensión .ZIP y en
caso de que el sistema tenga instalado el WinZip, el gusano agregará
los archivos ejecutables a los empaquetados con formato ZIP.
Para infectar a través de las redes P2P rastrea los servicios de las
siguientes aplicaciones:
En caso de encontrar uno o más de estos servicios, el gusano se copiará a las correspondientes carpetas de sus archivos compartidos como:
El gusano cambia la página de Inicio de Internet Explorer re-direccionándola a un sitio web en español, que ya ha sido desactivado.
Los payloads de este gusano son los siguientes:
PER ANTIVIRUS® versiones 8.8 y 8.9 con registro de virus al 22 de Septiembre del 2004 detectan y eliminan eficientemente este gusano.
