Noticias relacionadas Si recibes un correo con "ID" en el asunto es un virus

Gusano escrito en Microsoft Visual C++ y comprimido con la herramienta UPX, residente en memoria, que se propaga a través del correo electrónico.

Al ejecutarse, el virus lanza sndrec32.exe (Sound Recorder de Windows)

Luego, empieza a buscar direcciones de correo en ficheros con las siguientes extensiones:

wab txt htm html

Después intenta enviarse a todas las direcciones encontradas, en el formato descrito anteriormente.
Envía un mensaje de notificación a una lista de sitios web; el mensaje contiene informaciones acerca del ordenador infectado. Estos datos podrían ser utilizados para cargar otros ficheros infectados en los ordenadores infectados.

El gusano inicia un subproceso que escucha conexiones desde un ordenador remoto.
Esta conexión está empleada para descargar un fichero y ejecutarlo, pero también podría ser utilizada como mecanismo de auto-actualización.

De: [Dirección falsa]
Asunto: ID [6 caracteres al azar]... thanks

Texto:

Yours ID [9 caracteres al azar]
- -
Thank

Datos adjuntos: [7 caracteres al azar].exe

El archivo adjunto muestra el icono de los archivos de sonido, y cuando se ejecuta, el gusano abre la grabadora de sonidos de Windows (SNDREC32.EXE), para intentar ocultar su actividad.

Mientras tanto, examina si la fecha actual es 25 de febrero de 2004 o superior. Si lo es, finaliza su acción. En caso contrario, se copia en la siguiente ubicación:

c:\windows\system\au.exe

NOTA: "c:\windows\system" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x y ME, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system32" en Windows XP y Windows Server 2003).

Crea las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
au.exe = c:\windows\system\au.exe

HKU\[ID]\Software\Microsoft\Windows\CurrentVersion\Run
au.exe = c:\windows\system\au.exe

Crea también las siguientes entradas en el registro, para almacenar valores de su configuración actual:

HKU\[ID]\Software\Windows2000
frn = 1
gid = [8 dígitos]

HKCU\Software\Windows2000
frn = 1
gid = [8 dígitos]

En todos los casos, [ID] representa una cadena identificadora que es diferente en cada equipo (también puede ser ".DEFAULT").

Para propagarse, obtiene direcciones de correo de archivos con las siguientes extensiones:

.htm
.html
.txt
.wab

Ignora direcciones de correo que contengan las siguientes cadenas:

@hotmail.com
@msn.com
@microsoft
@avp

Cómo dijimos antes, el gusano se oculta, haciéndose pasar por la grabadora de Windows (SNDREC32.EXE).

También intenta acceder a varios sitios de Internet, para notificar al autor vía HTTP, con una solicitud GET a un script PHP. El paquete enviado a las siguientes direcciones, contiene el número de puerto actual y una identificación:

intern.games-ring.de
www.47df.de
www.47df.de/wbboard/1.php
www.intern.games-ring.de/2.php
www.strato.de
www.strato.de/1.php
www.strato.de/2.php

Posee algunas características de troyano de acceso remoto y para ello abre el puerto TCP/8866, quedando a la espera de comandos.

El gusano no se ejecuta después del 25 de febrero de 2004. Si un archivo del gusano es ejecutado después de esa fecha, crea un archivo BAT con el que intenta borrase a si mismo y al propio BAT.