|
W32/Sober.I@mm, W32/Sober.J@mm, I.worm.sober.I@mm
Sober.I es un gusano reportado el 19 de Noviembre del 2004, de alta propagación masiva a través de mensajes de correo con Asuntos, Contenidos y archivos Anexados, elegidos en forma aleatoria, en idiomas inglés o alemán.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual Basic con 55 KB de extensión promedio y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El mensaje tiene las siguientes características:
Remitente: posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en la Libreta de Direcciones de Windows o de MS Outlook o emplea uno de los siguientes falsos nombres, seguidos del dominio de Correo del sistema infectado:
Evita enviarse a las direcciones que tienen las siguientes cadenas de texto:
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Adjunto, cualquiera de los siguientes archivos:
con una de las siguientes extensiones:
Los Asuntos, Contenidos y archivos Anexados pueden ser enviados en lenguaje alemán.
Al ser ejecutado el archivo anexado muestra la siguiente falsa caja de diálogo:
Luego el gusano se auto-copia copia a la carpeta %System% con los nombres de archivos codificados como UUE:
Los archivos codificados UUE son algoritmos usados para convertir archivos en caracteres ASCII de 7 bits y que facilitan su transmisión en Internet entre plataformas Windows, Unix o Mac.
También crea los siguientes archivos para almacenar las direcciones de correo para su envío masivo:
Además libera los siguientes archivos con CERO bytes:
Finalmente copia a la carpeta %System% dos de sus principales componentes, los mismos que contienen sus rutinas de propagación. Los nombres de estos archivos son compuestos usando dos de cualquiera de los siguientes nombres, seguidos de la extensión .EXE:
Para ejecutarse la próxima vez que se inicie el sistema el gusano crea las siguientes llaves de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"windiag" = "%System%\[archivo_infectado]"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"syscryptsmss32x" = "%System%\[archivo_infectado] %srun%"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"servicediag" = "%System%\[archivo_infectado]"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"datadirrunx" = "%System%\[archivo_infectado] %srun%"
Al siguiente re-inicio el gusano verifica si el sistema está conectado a Internet intentando acceder a cualquiera de las siguientes dominios:
Aunque no está demostrado, el gusano contiene instrucciones para descargar un Backdoor desde una dirección en la web, la misma que se encuentra cifrada.
PER ANTIVIRUS® versiones 8.9 y 9.0 con registro de virus al 19 de Noviembre del 2004 detectan y eliminan eficientemente este gusano.
