|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Welyah.D. Infecta sin necesidad de abrir el mensaje | ||
|---|---|---|
VSantivirus No. 578 - Año 6 - Martes 5 de febrero de 2002 W32/Welyah.D. Infecta sin necesidad de abrir el mensaje http://www.vsantivirus.com/welyah-d.htm Nombre: W32/Welyah.D (Shoho) Tipo: Gusano de Internet Alias: I-Worm.Welyah.D, Worm/WelYah.D, I-Worm.Shoho-G Fecha: 2/ene/01 Tamaño: 110,592 bytes Fuente: Kaspersky, F-Secure, Central Command W32/WelYah.D, es una variación pequeña del gusano WelYah y sus variantes A, B, y C. Se propaga en sistemas Win32, y es un archivo en formato PE (Portable Executable), que ha sido compilado en Visual Basic 6. El virus envía mensajes con adjuntos infectados por él y además puede enviar a ciertos sitios FTP, algunos archivos robados de la computadora infectada (nombres de usuario y contraseñas del cliente CuteFTP), los cuáles comprometen la seguridad de la víctima. También posee una rutina destructiva, la cuál es capaz de borrar archivos del sistema. El virus se ejecuta por el solo acto de leer o visualizar un mensaje, ya que hace uso de una conocida brecha en la seguridad del Internet Explorer, relacionada con la etiqueta IFRAME (ms01-020 Iframe exploit). También se ejecutaría si el usuario hace doble clic sobre el adjunto, el cuál simula ser un archivo de solo texto .TXT La primera acción del gusano es copiarse a si mismo a las carpetas de Windows y sistema, con el nombre WINL0G0N.EXE (las "0" son números cero, no la letra "O"):
Luego modifica las siguientes claves del registro de Windows, para autoejecutarse en cada reinicio:
Para propagarse, el gusano hace uso de su propia rutina de conexión
SMTP, cuya dirección es tomada del registro (SMTP de la cuenta de correo del usuario), o bien utiliza una dirección SMTP predefinida en su código:
210.177.111.18, no dependiendo por lo tanto del Outlook, ni de ningún otro programa externo para enviarse.
El mensaje, en formato HTML, tiene las siguientes características:
La doble extensión esconde la verdadera (.PIF). Para hacernos creer es un
.TXT y no un .PIF, coloca numerosos espacios vacíos entre ambas extensiones, lo que deja fuera de la vista a la segunda. |
||
