|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde el 12 de agosto de 1996
| Virus: W32/Finaldo.b. Como Nimda infecta con solo ver el mensaje | ||
|---|---|---|
VSantivirus No. 488 - Año 6 - Jueves 8 de noviembre de 2001 Nombre: W32/Finaldo.b Tipo: Gusano de Internet Alias: W32.Finaldo,Finaldo,W32/Finaldo, W32/Finaldo.b@MM Fecha: 7/nov/01 Tamaño: 46 Kb aprox. (adjunto .EXE) Finaldo es el nombre de un nuevo gusano que compromete la seguridad de la red. Es un virus de Win32, polimórfico, escrito en C++, capaz de infectar archivos en formato PE y de auto enviarse en forma masiva a través de mensajes infectados. Sin embargo, esta versión contiene algunos bugs (errores) que impiden su funcionamiento correcto. El gusano llega en un mensaje con diferentes asuntos, y sin texto en su cuerpo. El nombre del adjunto es ".EXE" y su icono representa la bandera de la República Popular China. El mensaje hace uso de la misma vulnerabilidad que aprovecha para su uso el virus Nimda (y otros), llamada "Incorrect MIME Header vulnerability (MS01-020)", lo que hace que el adjunto (de apenas unos 46 Kb) sea ejecutado con el simple acto de visualizar el mensaje o verlo en el panel de vista previa, si el sistema no tiene el parche correspondiente, haciéndose pasar por un archivo de audio (codificado como "audio/x-wav", en formato MIME). La vulnerabilidad afecta las versiones 5.01 y 5.5 de Outlook y Outlook Express. Una vez en memoria, se crea un archivo llamado FINALDOOM.DLL o FINALDOOM.EXE (comprimido con la utilidad UPX), en el directorio TEMP de Windows (C:\Windows\TEMP por defecto), que intenta infectar archivos con las extensiones .EXE, .OCX, y .SCR en todas las unidades locales y de red compartidas, agregándose el propio gusano a los archivos infectados. Los archivos infectados por este método, no volverán a funcionar. Los archivos NTOSKRNL.EXE y todo archivo autoextraíble creado por la utilidad WinZip o WinRAR, son expresamente ignorados por el gusano. La razón de esto, es que cualquier modificación a estos archivos, sería crítica para los mismos aumentando las posibilidades de delatar la presencia del virus. También se crea un archivo FINALDOOM.EML también en el directorio TEMP, el cuál contiene el mensaje electrónico codificado con los protocolos MIME, que es enviado por el gusano al propagarse. Los destinatarios son sacados de los mensajes existentes (Bandeja de entrada), con el uso de la interface API correspondiente de los protocolos MAPI. El gusano aguardará 30 minutos antes de intentar enviarse a si mismo a todos esos destinatarios, utilizando sus rutinas SMTP, en un adjunto de nombre ".EXE" (vacío y solo extensión) Una vez localizadas dichas direcciones, intentará usar el servidor SMTP relacionado con las direcciones recolectadas, utilizando la forma SMTP.dirección, MAIL.dirección, WWW.dirección y EMAIL.dirección. Por ejemplo, si una de las direcciones recogidas es usuario@proveedor.com, intentará los servidores SMTP:
El virus intentará también modificar archivos con extensiones
.HTM, .HTML, y .ASP, insertándoles un pequeño código en JavaScript, que abrirá una ventana del explorador conteniendo el contenido del archivo
FINALDOOM.EML.
Los archivos infectados contienen la cadena:
"Coded_by_CJH" [y 8 dígitos en hexadecimal que representan la cantidad de archivos infectados hasta el momento].
Para limpiar un sistema infectado |
||
