|
Win32/Swen@mm, W32/Gibe.C@mm
Swen es un destructivo gusano reportado el 19 de Septiembre del 2003, de propagación masiva a través mensajes de correo con Asuntos, Contenidos y archivos Anexados aleatorios. Alguno de ellos simulan ser enviados por Microsoft y contener parches para sus sistemas operativos.
Se difunde además vía la red Peer to Peer Kazaa, redes con recursos compartidos y el IRC (Internet Chat Relay). Deshabilita antivirus, firewalls y sistemas de control.
Asimismo, este gusano infecta con tan sólo pre-visualizar el mensaje, aprovechando las vulnerabilidades MIME (Multipurpose Internet Mail Extensions) e iFrame de algunas versiones de Microsoft Outlook y Outlook Express que permiten que el archivo anexado sea ejecutado automáticamente, con la opción de Vista Previa.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Microsoft Visual C++ con una extensión de 104 KB.
Usa su propio servidor SMTP (Simple Mail Transfer Protocol) y se auto-envía a los buzones de correo extraídos de diversas fuentes contenidas en los sistemas infectados, como la Libreta de Direcciones de MS Outlook o las extraídas de los archivos con las extensiones:
Los mensajes tienen las siguientes características:
Remitente, dirección del usuario del sistema infectado o elegida en forma aleatoria de la siguiente combinación:
Cadena 1:
Cadena 2:
Cadena 3:
(Ejemplo: Microsoft@bulletin.msdn.com)
Destinatario, elegido aleatoriamente de:
Asunto, elegido aleatoriamente de:
Contenido, varios formatos HTML elegidos aleatoriamente que simulan contener Actualizaciones de Seguridad de los sistemas operativos de Microsoft.
Anexado, nombres aleatorios de la siguiente lista, seguido de hasta 8 caracteres alfanuméricos con una de las extensiones .EXE, .COM, .PIF, .BAT, .SCR o .ZIP:
Si el usuario ejecuta el archivo infectado, el gusano mostrará un mensaje alusivo a la instalación de un parche de seguridad, con el objeto de confundir o engañar al receptor del mensaje:
Luego de otras 2 cajas de diálogo, el gusano presenta un mensaje de error que simula ser un formulario de Microsoft, e invita a llenar los datos del usuario, con el propósito de obtener su información confidencial.
El gusano se auto-copia con el archivo de nombre aleatorio al directorio %Windir% y crea las siguientes llaves de registro:
Para ejecutarse la próxima vez que se
inicie el sistema:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"[nombre_aleatorio]" =
[archivo_aleatorio].EXE autorun
Luego modifica las siguientes llaves de
registro para activarse cada vez que se ejecuta cualquier archivo con
extensiones .BAT, .COM, .EXE, .PIF, .REG, y .SCR:
[HKEY_CLASSES_ROOT\batfile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
[HKEY_CLASSES_ROOT\comfile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
[HKEY_CLASSES_ROOT\exefile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
[HKEY_CLASSES_ROOT\piffile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
[HKEY_CLASSES_ROOT\regfile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
[HKEY_CLASSES_ROOT\scrfile\shell\open\command]
"default" =
"%Windir%\[nombre_de_archivo]\"%1" %*
También libera los siguientes archivos:
%Windir%\Germs0.dbv (almacena las
direcciones de correo capturadas del sistema infectado)
%Windir%\Swen1.dat (contiene una lista
de servidores remotos)
Para bloquear el uso del REGEDIT,
crea la siguiente llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools" = "01 00 00 00"
Una
vez activado, el gusano termina los procesos de los siguientes antivirus,
firewalls o programas de monitoreo que se encuentren instalados, dejando al
sistema totalmente vulnerable a los virus y ataques de intrusos:
Para infectar a través de Kazaa modifica la llave de descarga de archivos, agregándole este valor:
[HKEY_CURRENT_USER\Software\Kazaa\LocalContent]
"Dir99" = "012345:\%Windir%\Temp\[carpeta_aleatoria]"
Luego se auto-copia a la carpeta C:\My Shared Folder con uno de los siguientes nombres de extensiones .EXE o .ZIP:
Para propagarse por el IRC (Internet Chat Relay) el gusano sobre-escribe el SCRIPT.INI del software mIRC con su código viral en la carpetas C:\mIRC y C:\Archivos de programa\mIRC e infectará a todos los usuarios que se conecten a una misma sesión.
Para infectar a través de las Redes con recursos compartidos, el gusano se auto-copia en la carpeta de Inicio (Startup) de estas unidades de red.
El parche para tanto el iFRAME exploit y el MIME exploit puede ser descargado de:
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Al ser desensamblado, el gusano muestra esta caja de diálogo:
El gusano tiene los
siguientes payloads:
PER ANTIVIRUS® versión 8.2 y 8.3 con registro de virus al 19 de Septiembre del 2003 detecta y elimina eficientemente este gusano.
