| |
VSantivirus No. 1084 Año 7, Jueves 26 de junio de 2003
W32/Sobig.E. Nueva versión vigente hasta el 14/7/03
http://www.vsantivirus.com/sobig-e.htm
Nombre: W32/Sobig.E
Tipo: Gusano de Internet
Alias: Win32/Sobig.E, Sobig.E, I-Worm.Sobig.gen, W32/Sobig.E@mm, Win32.HLLM.Reteras, W32.Sobig.E@mm, W32/Sobig-E, W32/Sobig.e@MM
Fecha: 25/jun/03
Plataforma: Windows 32-bit
Tamaño: 86,528 bytes
Otra versión del Sobig, detectada por primera vez el 25 de junio de 2003. Se propaga simulando provenir de direcciones de correo falsas.
La infección ocurre solo si el usuario hace doble clic sobre el
archivo contenido dentro del adjunto (que siempre es .ZIP).
El gusano está compilado en Microsoft Visual C ++ (MSVC) y comprimido con la utilidad Telock, a diferencia de las anteriores, comprimidas con UPX.
Busca archivos con las extensiones .DBX, .EML, .HTM, .HTML, .TXT y .WAB, en todos los discos duros, para extraer direcciones de correo a las que luego se enviarán los mensajes infectados. Esas extensiones incluyen además de páginas Web en archivos temporales, las bases de mensajes y los mensajes del Outlook Express y la libreta de direcciones de Windows.
Para enviarse por correo, el gusano utiliza su propio motor SMTP, no dependiendo del cliente de correo instalado.
Los mensajes enviados poseen las siguientes características:
Como remitente, utiliza una dirección falsa obtenida en la máquina infectada.
Texto del mensaje (siempre el mismo):
Please see the attached zip file for details
Como asunto, uno de los siguientes al azar:
004448554.pif
Application.pif
Applications.pif
movie.pif
new document.pif
Re: Application
Re: document.pif
Re: Documents
Re: Movie
Re: Movies
Re: Re: Application ref 003644
Re: Re: Document
Re: ScRe:ensaver
Re: Submitted
Referer.pif
Screensaver.scr
submited.pif
Your application
Como datos adjuntos (uno de los siguientes):
application.zip (contiene "application.pif")
document.zip (contiene "document.pif")
movie.zip (contiene "Movie.pif")
screensaver.zip (contiene "sky.world.scr")
your details.zip (contiene "details.pif")
El archivo .ZIP, de 82,195 bytes, contiene un archivo .PIF o .SCR, de 86,528 bytes. El usuario debe abrir el .ZIP y hacer doble clic sobre el .PIF o el .SCR para infectarse.
Para seleccionar sus destinatarios, el gusano busca direcciones en la máquina infectada, dentro de archivos con las siguientes extensiones:
.dbx
.eml
.htm
.html
.txt
.wab
Crea varios archivos, algunos copias de si mismo, otros usados para guardar las direcciones obtenidas en la máquina infectada, a las que luego se envía. El propio gusano se copia en el siguiente archivo:
c:\windows\winssk32.exe
c:\windows\msrrf.dat
También modifica el registro para autoejecutarse en la máquina infectada al reiniciarse ésta:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SSK Service = c:\windows\winssk32.exe
Si el sistema operativo es Windows NT, 2000 o XP, también agrega este valor:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
SSK Service = c:\windows\winssk32.exe
NOTA: "C:\Windows\System" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP y Windows Server 2003).
Si la fecha actual es anterior a la indicada como 14-07-2003 (14 de julio de 2003), cada 30 minutos el gusano enumera las carpetas compartidas en red, y si tiene los permisos, intentará propagarse a través de recursos compartidos en redes, a otras computadoras, a los siguientes recursos compartidos:
C$
D$
E$
IPC$
Windows 95, 98 y Me:
C:\WINDOWS\All Users\Menú Inicio\Programas\Inicio
Windows XP y 2000:
C:\Documents and Settings
\All Users\Menú Inicio\Programas\Inicio
Windows NT:
C:\WinNT\Profiles
\All Users\Menú Inicio\Programas\Inicio
Las computadoras así infectadas, cargarán al gusano en memoria cuando las mismas sean reiniciadas. En ocasiones, se copia en los directorios raíz o en la carpeta actual.
El gusano tiene como fecha de desactivación el 14 de julio de 2003, por lo que podría estar activo hasta el 13/jul/03. Sin embargo, puede ser actualizado descargando archivos de diferentes sitios.
Reparación manual
Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
Borrar los archivos creados por el gusano.
En Windows 95/98/Me/NT/2000
1. Seleccione Inicio, Buscar, Archivos o carpetas
2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"
3. En "Nombre" ingrese (o corte y pegue), lo siguiente:
winssk32.exe; msrrf.dat
4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados
5. Cierre la ventana de búsqueda
6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
En Windows XP
1. Seleccione Inicio, Buscar
2. Seleccione Todos los archivos y carpetas
3. En "Todo o parte del nombre" ingrese (o corte y pegue), lo siguiente:
winssk32.exe; msrrf.dat
4. Verifique que en "Buscar en:" esté seleccionado "C:"
5. Pinche en "Opciones avanzadas"
6. Seleccione "Buscar en carpetas del sistema"
7. Seleccione "Buscar en subcarpetas"
8. Haga clic en "Buscar ahora" y borre todos los archivos encontrados
9. Cierre la ventana de búsqueda
10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
SSK Service
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
5. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada (podría no existir):
SSK Service
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Información adicional
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
