SOBER.AA gusano de correo en inglés y alemán termina procesos deshabilita firewall y seguridad de Windows, etc.  

© Jorge Machado  Lima-Perú

W32/Sober.AA@mm

Sober.AA es un gusano de correo, residente en memoria reportado el 1o de Mayo del 2007, con mensajes en idiomas inglés y alemán, bajo la forma Multi SPAM, con remitentes, contenidos y archivos anexados aleatorios.

Emplea varios servidores SMTP como puentes intermediarios de envío, incluso direcciones IP. 

Termina procesos, deshabilita el Firewall de Windows, Windows Update y desestabiliza la seguridad del sistema.

Infecta Windows 98/NT/Me/2000/XP y Server 2003, está escrito en MS Visual Basic con una extensión de 84KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

El gusano extrae las direcciones contenidas en los archivos con las siguientes extensiones:

ignorando aquellas que tengan las cadenas:

y para enviar los mensajes MultiSPAM usa uno de los siguientes servidores de correo:

intenta además usar uno de los servidores de las siguientes direcciones IP:

el gusano evita enviarse a las direcciones que contengan las siguentes cadenas:

los mensajes tiene las siguentes características:

Remitente: las direcciones extraídas de los sistemas infectados o la combinación de [Cadena 1]@[Cadena 1]

[Cadena 1] es una de las siguientes:

[Cadena 2] una de las siguientes:

Asunto, uno de los siguientes:

Contenido, uno de los siguientes:

Anexado, uno de los siguientes:

en todos los casos el archivo .ZIP contiene los archivos que libera en memoria.

Al activarse el gusano se copia a la siguiente ruta con los nombres:

Para ejecutarse la próxima vez que se re-inicie el sistema crea las siguientes llaves de registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinData" = "%Windir%\PoolData\services.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"_WinData" = "%Windir%\PoolData\services.exe"

Para desactivar el Windows Update crea la llave:

[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\Auto Update]
"AUOptions" = "1" 

Para desactivar el Firewall de Windows crea la llave:

[HKEY_LOCAL_MACHINE\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = "4" 

Para desactivar el Windows Security Center crea las llaves:

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\wscsvc]
"Start" = "4" 
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wscsvc]
"Start" = "4" 

Al siguiente inicio del equipo, el gusano muestra esta falsa caja de diálogo:

y termina cualquier proceso que tenga una de las siguientes cadenas:

luego intenta parchar en las siguientes rutas el driver TCPIP.SYS, en equipos con Windows XP SP2:

y muestra la falsa caja de diálogo:

para comprobar la conexión a Internet se conecta a uno de los siguientes sitios web: 

verifica la conexión a redes y fecha de los sistemas infectados conectándose a uno de los servidores NTP a través del puerto TCP 37:

Los servidores NTP (Network Time Protocol) son aquellos que periódicamente verifican la hora de determinados servidores, re-ajustando la hora de los sistemas desde los cuales se conectan.

el gusano intenta descargar una copia de sí mismo de uno de los siguientes portales ubicados en Alemania:

La información capturada es almacenada en los siguientes archivos:

PER ANTIVIRUS® versión 10.1 con registro de virus al 1o de Mayo del 2007 detecta y elimina eficientemente este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS