Win32.Updater, I-Worm.Imelda, W32/Updater@MM, Imelda

Updapter, es un gusano propagado en la noche del 6 de Diciembre del 2001, de gran difusión masiva a través de mensajes de correo electrónico vía Internet, con un archivo anexado elegido en forma aleatoria desde una lista contenida en el cuerpo de esta especie viral, con el clásico formato PE (Portable Ejecutable) de todos los sistemas operativos Win32.

Este gusano satura servidores Web, LAN, estaciones de trabajo, PC individuales y domésticas, con un gran efecto multiplicador. Renombra archivos y la etiqueta de la unidad del disco C: con el nombre Imelda. 

Infecta todos los sistemas operativos Microsoft Windows 95/98/NT/2000/Me, incluyendo los servidores NT/2000.

Updater ha sido desarrollado, aparentemente en Indonesia,  en lenguaje Visual Basic 6.0. Tiene 12k de extensión al estar comprimido con el utilitario UPX (Ultimate Packer for eXecutables) y que al descomprimirse se convierte en un archivo muy grande de 45kb, debido a que contienen diferentes segmentos de Asuntos y archivos anexados.

Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface), una vez que un sistema es infectado, el gusano se auto-envía a todos los buzones de la libreta de direcciones de MS Outlook y Outlook Express, en un mensaje de correo:

El asunto del mensaje es elegido en forma aleatoria utilizando la combinación de 4 diferentes segmentos contenidos dentro de su código viral:

Primer segmento:

Segundo segmento:

Tercer segmento:

Cuarto segmento:

Un ejemplo de combinación en el asunto será: "Have you Check out this Transaction".

El archivo anexado es también elegido aleatoriamente de cualquiera de los siguientes, contenidos dentro de su código viral:

Si el archivo anexado es ejecutado, el gusano se auto-copia a la carpeta C:\Windows con el nombre UPDATE.EXE y en forma adicional con uno de los siguientes nombres:

Para asegurarse de ser activado la próxima vez que se inicie Windows, el gusano modifica la llave del registro:

A continuación mostrará un falso mensaje de error, ocultando su acción real:

Luego creará un archivo Visual Basic Script de nombre Update.vbs en la carpeta de inicio de Windows, para ejecutarlo cada vez que se inicie el sistema:

Su payload final tiene consiste en la auto-ejecución del archivo Update.vbs, iniciando una búsqueda de archivos con extensión *.DOC, *.EXE y *.TXT en las unidades lógicas locales y de red, auto-copiándose con los nombres de los archivos encontrados, a los cuales les agrega la extensión vbs Por ejemplo:

Finalmente cambia la etiqueta de la unidad C: al nombre de "IMELDA"

El script Update.vbs se ejecuta en forma automática, cada vez que se re-inicia el sistema y muestra en la pantalla la siguiente caja de diálogo los días 12 de cada mes: