|
W32/Sober.C@mm, I.worm.sober.E@mm
Sober.E es un gusano reportado el 29 de Marzo del 2004, de alta propagación masiva a través de mensajes de correo con Remitentes falsos, Asuntos, Contenidos y archivos Anexados, elegidos en forma aleatoria.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual Basic con 30 KB de extensión promedio y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Posee su propio SMTP (Simple Mail Transfer Protocol) que utiliza la técnica Email Spoofing para disfrazar las direcciones de los Remitentes y los mensajes tienen las siguientes características:
Remitente: está compuesto por los siguientes nombres con uno de los dominios @gmx.net o gmx.de:
El gusano evita enviarse a las direcciones que tienen las siguientes cadenas:
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Adjunto, cualquiera de los siguientes archivos:
Al ser ejecutado el archivo anexado ejecuta el utilitario mspaint.exe (Paint Brush) o muestra la siguiente caja de diálogo:
En caso que el sistema no estuviese conectado a Internet, el gusano intenta discar las conexiones disponibles ya sean locales o remotas o muestra la siguiente caja de diálogo:
Simultáneamente se auto-copia en la carpeta %System% con un nombre aleatorio con extensión .EXE además de liberar en la misma ruta los siguientes archivos:
Para ejecutarse la próxima vez que se inicie el sistema el gusano crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"[valor_aleatorio]" = "%System%\[nombre_de_archivo_aleatorio].EXE"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"[valor_aleatorio]" =
"%System%\[nombre_de_archivo_aleatorio].EXE %1"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003 y
El [valor_aleatorio] y el [nombre_de_archivo aleatorio] son compuestos de las siguientes cadenas:Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en archivos con las siguientes extensiones:
Luego el gusano intenta conectarse a los siguientes servidores NTP (Network Time Protocol) a través del puerto TCP 37 para determinar la fecha del día:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.5 y 8.6 con registro de virus al 28 de Marzo del 2004 detecta y elimina eficientemente este gusano.
