|
W32/Yanz@mm, I.worm.yanz@mm
|
Yanz es un gusano reportado el 23 de Noviembre del 2004, de propagación masiva a través de mensajes de correo con Asuntos, Contenidos y archivos Anexados elegidos en forma aleatoria.
Está relacionado a la bella cantante de música Pop, de Singapur Stefanie Sun, conocida como Yanzi. También se difunde vía redes locales y de compartimiento de archivos Peer to Peer. |
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con 102 KB de extensión y no se encuentra comprimido.
El mensaje tiene las siguientes características:
Remitente: posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a las direcciones de correo del sistema infectado contenidas en las Libretas de Direcciones y en archivos con las siguientes extensiones:
Evita enviarse a aquellas que tengan las cadenas de texto:
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Adjunto, puede ser uno de extensión .ZIP que contiene una copia ejecutable del gusano, o cualquiera de los siguientes archivos:
con una de las extensiones:
Al ser ejecutado el archivo muestra la siguiente falsa caja de diálogo:
Luego crea el mutex "Sun YanZi - forever", para evitar infectar al sistema más de una vez.
Usando el método "store" crea en el directorio %Windir% el archivo YanZi.zip
que es una copia de sí mismo con el nombre de Sun YanZi.pif, el cual no se encuentra comprimido.
El gusano crea además un pequeño archivo sun_yanzi.htm, en el directorio activo, mediante el cual escribe la cadena de texto "Sun-Yanzi" y copia al directorio %Windir%
dos archivos con codificación Base 64:
estos archivos son usados para la propagación masiva de correo del gusano. La codificación Base64 es un complejo diseño de secuencias arbitrarias de octetos en un formato que no puede ser leído normalmente.
Luego el gusano se auto-copia copia a la carpeta %System% con los nombres:
Para ejecutarse la próxima vez que se inicie el sistema el gusano crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Kernel" = "%System%\Lsasss.exe"
Al siguiente re-inicio, el gusano termina los siguientes procesos:
Para propagarse a través de las redes Peer to Peer revisa las carpetas de descarga que tengan la cadena de texto shar, en caso de estar instaladas, y se copia con los siguientes nombres:
Actuando como Backdoor se conecta al puerto TCP 67 y tiene instrucciones de descargar desde una dirección IP encriptada un archivo ejecutable conteniendo código maligno.
PER ANTIVIRUS® versiones 8.9 y 9.0 con registro de virus al 23 de Noviembre del 2004 detectan y eliminan eficientemente este gusano.
