|
|
Wurmark.R es un gusano reportado el 23 de Septiembre del 2005 de propagación masiva a través de mensajes de Correo, con Asuntos
aleatorios, Contenido en blanco y archivos anexados en formato ZIP con doble extensión, separadas por espacios en blanco.
El gusano libera un archivo DLL que actúa como Keylogger capturando contraseñas las que almacena en un archivo temporal y envía a una dirección en la web. |
Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP/, incluyendo los servidores NT/2000/Server 2003 está desarrollado en Visual C++, con una extensión de 74 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía absolutamente a todos los buzones contenidos en el sistema, incluyendo el cTmail, que es el sistema de correo basado en la web o las direcciones de archivos con las siguientes extensiones:
evitando enviarse a las direcciones que tengan las cadenas:
Los mensajes tienen las siguientes características:
Remitente, las extraídas del sistema.Asunto, uno de los siguientes:
Contenido: en blanco.
Anexado, uno de los siguientes:
El archivo con formatp ZIP contiene una copia del gusano con el nombre del archivo anexado.[primera_extensión] [espacios_en_blanco].scr, siendo la primera extensión una de las siguientes:
También, en lugar del archivo anexado el gusano puede contener uno de estos enlaces:
Al ser ejecutado se desempaqueta en memoria y copia a la carpeta %System% con el nombre del archivo de nombre aleatorio anexado y para ejecutarse la próxima vez que se re-inicie el sistema modifica la llave:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"[nombre_archivo]" = "%System%\[nombre_archivo].exe"
Al siguiente inicio el gusano activa su rutina de envío masivo de mensajes de correo y libera un archivo .DLL que actúa como keyloger que procede a revisar las unidades de disco para capturar contraseñas almacenadas en:
Salva las mismas en un archivo de la ruta:
%Temp%\[nombre_aleatorio].tmp
y envía este archivo temporal al sitio web:
http://www.melaniecarroll.biz/[carpeta_removida]n2.php (actalmente deshabilitado)
PER ANTIVIRUS® versión 9.4 con registro de virus al 23 de Septiembre del 2005 detecta y elimina este gusano.
