|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| VBS/Challenge. Infecta sin abrir archivos adjuntos | ||
|---|---|---|
VSantivirus No. 236 - Año 5 - Jueves 1 de marzo de 2001 VBS/Challenge. Infecta sin abrir archivos adjuntos http://www.vsantivirus.com/challenge.htm Nombre: VBS/Challenge Tipo: Gusano de Visual Basic Script Alias: I-Worm.Challenge, VBS/Challenge@M, VBS/Folder, VBS.Folder Fecha: 27/feb/01 Tamaño: 3060 bytes Este gusano se propaga a través del Outlook Express 5, y posee funciones muy similares al JS/Kak@M, KakWorm, (ver VSantivirus No. 157 - Año 4 - Martes 12 de diciembre de 2000, VBS/Kakworm-E. Infecta con solo verlo en vista previa, VSantivirus No. 101 - Año 4 - Jueves 23 de marzo de 2000, VBS/Kakworm-A). Infecta a través de código agregado a mensajes de correo con formato HTML (no es necesario abrir ningún adjunto para contagiarse). Solo funciona en sistemas con el Outlook Express 5, y el Windows Scripting Host instalados. Es capaz de agregarse a si mismo a cada mensaje enviado por la computadora infectada. No lo hace como otros gusanos, a través de archivos adjuntos, sino que agrega su código dentro del mensaje (en su firma) como un script de Visual Basic (VBS). Cuando el mensaje infectado es abierto, el usuario no nota nada extraño, pero el virus toma el control del sistema. Para hacer esto, el gusano se aprovecha de una vulnerabilidad que permite a un script contenido en un mensaje de correo con formato HTML, acceder a controles ActiveX (Ver VSantivirus No. 114 - Año 4 - Lunes 30 de octubre de 2000, Godmessage, se ejecuta sin necesidad del "doble clic"). El gusano infecta la computadora en dos pasos: Primero, cuando un mensaje con formato HTML infectado es desplegado, el script embebido en su código toma el control. Genera entonces un archivo TEMP.HTA con una copia del propio gusano en la carpeta de inicio de Windows. En este caso, esta acción funciona en todas las versiones de Windows, sin importar su idioma. El segundo paso se lleva a cabo cuando Windows se reinicia. El archivo TEMP.HTA en la carpeta de inicio es ejecutado, creándose un segundo archivo llamado FOLDER.HTML en la carpeta C:\WINDOWS\SYSTEM. Este archivo contiene el código original del gusano. Luego, el virus registra este archivo como la firma por defecto del Outlook Express 5 (OE5). Para ello modifica la rama del registro:
y la rama:
Desde este momento, todos los mensajes enviados con el OE5 desde la computadora infectada, llevarán el código del virus a través de la firma incluida en los mensajes.
Para evitar su acción, se recomiendan los siguientes pasos: |
||
