Al ejecutar el archivo anexado se muestra la siguiente falsa caja de diálogo:
Al hacer click en "OK" el gusano se copia a las siguientes rutas con diversos nombres de archivos:
|
W32/Zezer@mm, W32/Dozer@mm, I.worm.zezer@mm
Zezer es un gusano reportado el 01 de Octubre del 2003, de propagación masiva, a través de mensajes de correo con un archivo anexado de nombre Msn_inst.exe, que simula ser enviado por Microsoft con una actualización para MSN Messenger.
Se auto-envía a la Lista de Contactos del Messenger con el dominio @hotmail.com, de los sistemas infectados, al enganchar llamadas API (Application Program Interface) de esta popular aplicación de mensajería instantánea.
Emplea la técnica Email spoofing, que disfraza las verdaderas direcciones del Remitente.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003
El gusano está desarrollado y compilado en Visual C++, con una extensión de 21.5 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El
mensaje tiene las siguientes características:
Destinatario: dirección_extraída_del_Messenger@hotmail.com
Remitente, uno de los siguientes:
Asunto: Windows Update (MSN Messenger Update 6 MSN Messenger vulnerability)
Contenido:
|
Attention All Microsoft Users: A patch has been issued to correct a vulnerability in MSN Messenger which can be performed by a malicious user in order to gain unauthorized access to compromised computers. Windows users who have MSN Messenger 4.x and higher versions are affected by this vulnerability and must download and install the patch labeled Msn_inst.exe, which is attached to this email message. For any support regarding this patch please contact support@microsoft.com for more information. |
Anexado: Msn_inst.exe
Al ejecutar el archivo anexado se muestra la siguiente falsa caja de
diálogo:
Al hacer click en "OK" el
gusano se copia a las siguientes rutas con diversos nombres de archivos:
Para activarse la próxima vez que se inicie el sistema crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Mscsgs" = "%Windir%\Mscsgs.exe"
[HKEY_CURRENT_USER\Software\Zed\Dozer]
"Dozer" = "W32/Dozer by Zed"
Para deshabilitar las herramientas de edición del Registro de Windows, el gusano genera esta llave:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools" = 1
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
%Startup% es una variable que corresponde a C:\Windows\Menú Inicio\Programas\Inicio en Windows 95/98/Me/XP y a C:\Documents and Settings\carpeta_del_usuario\Menú Inicio\Programas\Inicio en Windows NT\2000\XP.
Una vez activado, el gusano termina los procesos de los siguientes antivirus, firewalls o programas de monitoreo que se encuentren instalados, dejando al sistema totalmente vulnerable a los virus y ataques de intrusos:
Actuando como Backdoor, el gusano roba las Claves de Acceso contenidas en el "cache" y las envía a la dirección de correo netdozer@hotmail.com (actualmente deshabilitada).
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.3 con registro de virus al 01 de Octubre del 2003 detecta y elimina eficientemente este gusano.
