|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Donghe.A. Un adjunto que se ejecuta por solo verlo | ||
|---|---|---|
VSantivirus No. 681 - Año 6 - Domingo 19 de mayo de 2002 W32/Donghe.A. Un adjunto que se ejecuta por solo verlo http://www.vsantivirus.com/donghe-a.htm Nombre: W32/Donghe.A Tipo: Gusano de Internet Alias: WORM_DONGHE.A, VBS_DONGHE.A, VBS/Donghe Fecha: 13/may/02 Tamaño: 49,152 bytes Nota: Es una variante anterior del W32/Hedong (VSA #677), pero con algunas fallas. Este gusano utiliza su propio protocolo SMTP (Simple Mail Transfer Protocol), para propagarse a través del correo electrónico. El código del virus llega como adjunto a un mensaje, y se vale de una vulnerabilidad en los cabezales del protocolo MIME (Multipurpose Internet Mail Extensions). MIME es un protocolo creado para el envío y recepción de contenidos complejos tales como programas ejecutables, sonidos, imágenes, o cualquier información que no sea en esencia solo texto, sino de contenido binario. MIME clasifica los contenidos que se incluyen en los mensajes de correo según su naturaleza. En la cabecera del mensaje se añaden dos etiquetas (MIME-Version y Content-type), en la que la segunda especifica en qué grupo de la clasificación se incluiría el código contenido en el cuerpo del mensaje. En este caso, el gusano utiliza la etiqueta "Content-Type: audio/x-wav;". El ejecutable está asociado a esta etiqueta, aunque no se trata de un archivo de música. Por defecto la aplicación asignada (asociada con archivos de audio) es el Windows Media Player. Sin embargo, se ejecuta el gusano en su lugar, produciéndose la infección. Nótese que como en el caso del Klez, no es necesario abrir ningún adjunto para que se produzca la infección. Inclusive no es visualizado el clásico clip desde el Outlook. También basta ver el mensaje en el panel de vista previa para que la infección se produzca. El código del gusano libera un componente en Visual Basic Script (VBS), el cuál contiene las instrucciones para eliminar archivos con las siguientes extensiones:
Errores en el script impiden que esta acción se lleve a cabo, ya que el componente VBS no es liberado.
o
En el nombre "Hello (1).EXE" existe un espacio entre
"Hello" y el "(1)".
Cuando la conexión se establece, debería crear el componente VBS, pero como vimos, falla al intentar hacerlo, por lo que no se ejecuta su rutina destructiva (pero si las demás, incluida la de propagación).
Esto hace que cada vez que se ejecute cualquier programa o aplicación, el virus
(EXPORLER.EXE) sea llamado antes y permanezca en memoria:
Consejos que ayudan para no infectarse
Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej:
C:\NOMBRE\REGEDIT.EXE, etc.).
4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:
5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del cargador (EXPORLER.EXE) y dejar solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. |
||
