Netsky.Q (Peligrosidad: 4 - Alta)
Gusano cuya propagación se realiza mediante el envío masivo de correo electrónico a direcciones contenidas en el sistema infectado, para lo que se sirve de su propio motor de envío SMTP. Las características del mensaje son variables, aunque siempre en inglés.
Utiliza una antigua vulnerabilidad (MIME header vulnerability) de Internet Explorer en versiones anteriores a la 6, que permite la ejecución del archivo adjunto con sólo solo leer el mensaje o visualizarlo en el panel de vista previa.
La dirección del remitente será falsificada y las extensiones del fichero adjunto podrán ser .exe, .pif, .scr, o .zip.
También puede propagarse a través de redes de intercambio de ficheros (P2P).
Netsky.Q consta de 2 componentes: El descargador (dropper), comprimido con la utilidad "Petite" y el componente de envío masivo, una librería DLL comprimida con UPX, que es iniciado por el descargador.
Solución
Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea Deshabilitar restauración del sistema en Windows XP y Windows Me
Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
Elimine las siguientes entradas del registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SysMonXP = c:\windows\sysmonxp.exe
Restaure las siguientes entradas del registro:
KEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\PINF
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WksPatch
HKEY_CLASSES_ROOT\CLSID\CLSID\
{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.
Datos Técnicos
Peligrosidad: 4 - Alta Difusión: Alta Fecha de Alta:29-03-2004
Última Actualización:13-03-2007
Daño: Bajo
[Explicación de los criterios] Dispersibilidad: Alto
Nombre completo: Worm.W32/Netsky.Q@MM
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
w32
Mecanismo principal de difusión: [MM] - Virus que envía masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
Tamaño (bytes): 28000
Alias:W32.Netsky.Q@mm (Symantec), W32/Netsky-Q (Sophos), W32/Netsky.Q.worm (Panda Software), WORM_NETSKY.Q (Trend Micro), Win32.Netsky.Q (Computer Associates), W32/Netsky.q@MM!zip (McAfee), W32/Netsky.q@MM (McAfee), W32/Netsky.q!eml (McAfee), W32/Netsky.q@MM (Computer Associates), Win32/Netsky.Q (Computer Associates), Win32/Netsky.R (Computer Associates), I-Worm.NetSky.r (Kaspersky (viruslist.com)), W32.Netsky.Q@mm.enc (Symantec), Win32.Netsky.Q@mm (Bit Defender), I-Worm.NetSky.q (Kaspersky (viruslist.com)), W32/Netsky.q.dam (McAfee), Worm.SomeFool.Q (Otros), Worm.SomeFool.Q.2 (Otros), W32/Netsky.q@M (McAfee), Netsky.Q@mm (Symantec), W32/Netsky.q.da (McAfee), Email-Worm.Win32.NetSky.q (Kaspersky (viruslist.com)), Email-Worm.Win32.NetSky.r (Kaspersky (viruslist.com)), W32/NetskyQ-Dam (Trend Micro), Worm.SomeFool.Q (ClamAV), Win32/Netsky.R (ESET (NOD32))
Detalles
Instalación
Cuando se ejecuta, el gusano se copia a sí mismo en el directorio de Windows con los siguientes nombres:
c:\windows\sysmonxp.exe
c:\windows\firewalllogger.txt
FIREWALLLOGGER.TXT es archivo .DLL (librería dinámica). El .EXE llama a este .DLL para ejecutarlo.
También puede acabar creando los siguientes archivos:
c:\windows\base64.tmp
c:\windows\zipo0.txt
c:\windows\zipo1.txt
c:\windows\zipo2.txt
c:\windows\zipo3.txt
c:\windows\zippedbase64.tmp
Intenta desinstalar la entradas realizadas en el registro por otros gusanos:
Explorer
system.
msgsvr32
au.exe
winupd.exe
direct.exe
jijbl
Video
service
DELETE ME
d3dupdate.exe
OLE
Sentry
gouday.exe
rate.exe
Taskmon
Windows Services Host
sysmon.exe
srate.exe
ssate.exe
Microsoft IE Execute shell
Winsock2 driver
ICM version
yeahdude.exe
Microsoft System Checkup
de las siguientes claves de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
También borra las siguientes subclaves de los registros indicados:
KEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\PINF
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WksPatch
HKEY_CLASSES_ROOT\CLSID\CLSID\
{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
Crea la siguiente entrada en el registro, para auto ejecutarse en cada reinicio:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SysMonXP = c:\windows\sysmonxp.exe
Propagación
Busca direcciones electrónicas en archivos con las siguientes extensiones, en todas las unidades de disco y mapeadas en red, de la C a la Z, excepto unidades de CD-Rom:
.a
.ad
.adb
.as
.asp
.c
.cf
.cfg
.cg
.cgi
.d
.db
.dbx
.dh
.dht
.dhtm
.do
.doc
.e
.em
.eml
.h
.ht
.htm
.html
.j
.js
.jsp
.m
.mb
.mbx
.md
.mdx
.mh
.mht
.mm
.mmf
.ms
.msg
.n
.nc
.nch
.o
.od
.ods
.of
.oft
.p
.ph
.php
.pl
.pp
.ppt
.r
.rt
.rtf
.s
.sh
.sht
.shtm
.st
.stm
.t
.tb
.tbb
.tx
.txt
.u
.ui
.uin
.v
.vb
.vbs
.w
.wa
.wab
.ws
.wsh
.x
.xl
.xls
.xm
.xml
Si detecta conexiones a Internet activas, comienza a propagarse enviando mensajes con las siguientes características, sobre las direcciones capturadas:
De: [remitente falso] direcciónes obtenidas en la máquina infectada.
Asunto: [uno de los siguientes]
Deliver Mail [dirección destinatario]
Delivered Message [dirección destinatario]
Delivery [dirección destinatario]
Delivery Bot [dirección destinatario]
Delivery Error [dirección destinatario]
Delivery Failed [dirección destinatario]
Delivery Failure [dirección destinatario]
Error [dirección destinatario]
Failed [dirección destinatario]
Failure [dirección destinatario]
Mail Delivery failure [dirección destinatario]
Mail Delivery System [dirección destinatario]
Mail System [dirección destinatario]
Server Error [dirección destinatario]
Status [dirección destinatario]
Unknown Exception [dirección destinatario]
Mensaje: Compuesto en la forma [1]+[2]+[3]+[4]
Donde [1] es una de las siguientes líneas:
Delivery Agent - Translation failed
Delivery Failure - Invalid mail specification
Mail Delivery - This mail couldn't be displayed
Mail Delivery Error - This mail contains unicode characters
Mail Delivery Failed - This mail couldn't be represented
Mail Delivery Failure - This mail couldn't be shown.
Mail Delivery System - This mail contains binary characters
Mail Transaction Failed - This mail couldn't be converted
[2] es lo siguiente:
------------- failed message -------------
[Texto aleatorio]
[3] es uno de los siguientes textos:
Message has been sent as a binary attachment.
Modified message has been sent as a binary attachment.
Note: Received message has been sent as a binary file.
Partial message is available and has been sent as a binary attachment.
Received message has been attached.
Received message has been sent as an encoded attachment.
The message has been sent as a binary attachment.
Translated message has been attached.
Y finalmente [4] es lo siguiente:
Or you can view the message at:
www.[dominio]/inmail/[usuario]/mread.php?
sessionid-[número al azar]
Donde [dominio] es el dominio de la dirección del destinatario (lo que va después de la arroba), y [usuario] el nombre de la cuenta:
Adjuntos: Compuesto en la forma [1]+[2]+[3]
Donde [1] es uno de los siguientes elementos:
data
msg
message
[2] son varios números al azar
[3] es la extensión .PIF o .ZIP. En ocasiones no se agrega el elemento [2].
Si el adjunto es un archivo comprimido (.ZIP), el nombre del archivo que contiene puede ser uno de los siguientes:
data.eml[100 espacios vacíos].scr
mail.eml[100 espacios vacíos].scr
msg.eml[100 espacios vacíos].scr
message.eml[100 espacios vacíos].scr
Los 100 espacios vacíos esconden la verdadera extensión de los archivos, ya que la misma queda oculta en la ventana que los muestra.
El adjunto con extensión .PIF, puede ejecutarse al leer el mensaje o al verlo en el panel de vista previa, en equipos con Internet Explorer 5.5 o inferior, sin los parches correspondientes. Este fallo no afecta al IE 6.0, ni a equipos con los parches actualizados (fue corregido por Microsoft en marzo de 2001).
El gusano posee su propio motor SMTP, y para el envío de los mensajes consulta al servidor de nombres configurado en la conexión actual.
Evita enviarse a direcciones que contengan estas cadenas:
@antivi
@avp
@bitdefender
@fbi
@f-pro
@freeav
@f-secur
@kaspersky
@mcafee
@messagel
@microsof
@norman
@norton
@pandasof
@skynet
@sophos
@spam
@symantec
@viruslis
abuse@
noreply@
ntivir
reports@
spam@
Otros detalles
Si el nombre del archivo no es SYSMONXP.EXE (por ejemplo, es el nombre del adjunto), el gusano abre el bloc de notas al ejecutarse (NOTEPAD.EXE), e intenta mostrar un archivo de texto llamado TEMP.EML, que no existe.
Crea un mutex llamado "_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_" para no ejecutarse más de una vez en memoria.
El gusano intenta eliminar los datos agregados en el registro por otros gusanos.
En un hilo de ejecución independiente, el gusano examina la fecha y hora actual del sistema. Si se está ejecutando a las 5:11 de la mañana del 30 de marzo, emitirá varios sonidos por el altavoz del sistema.
Los días 8, 9, 10 y 11 de abril de 2004, intentará ataques de denegación de servicio a los siguientes sitios:
www.edonkey2000.com
www.kazaa.com
www.emule-project.net
www.cracks.am
www.cracks.st
Más información acerca de este virus en:
Symantec
Sophos
Panda Software
Enciclopedia Virus
Computer Associates
Bit Defender
FUENTE: ALERTA ANTIVIRUS <----- Old Post, ya no existe fuente
No hay comentarios.:
Publicar un comentario