Descripción:

W32/Bugbear.A@mm, es un gusano que se propaga vía E-mail y en redes locales a traves de recursos compartidos.

El gusano roba contraseñas de Windows y las envía a diferentes direcciones anónimas en Internet propiedad del creador del gusano..

El gusano utiliza una vulnerabilidad conocida en Internet Explorer 5 para activarse con solo visualizar el mensaje infectado (no es necesario abrir el archivo adjunto para infectarse).

Características de los mensajes de E-mail:

Asunto: Variable, el gusano utiliza asuntos al azar o extrae uno de la siguiente lista

Cuerpo :Variable
Archivo Adjunto: : Variable, con doble extensión que termina en .EXE, .PIF o .SCR

------------------------------------------------------

El gusano se activa si el usuario abre el archivo adjunto o en forma automática si se utiliza Internet Explorer sin el parche de seguridad. Al activarse se copia así mismo en la carpeta del sistema con un nombre al azar que empieza con "F***.EXE".:

C:\WINDOWS\SYSTEM\F***.exe

Win95/98/ME: C:\WINDOWS\SYSTEM\FRTY.EXE
XP/2000/NT: C:\WINNT\SYSTEM32\FHJY.EXE

- Carpeta de Inicio con un nombre que empieza con "C**.EXE"

Win95/98/ME : C:\WINDOWS\Menú Inicio\Programas\Inicio\CUT.EXE
XP/2000/NT : C:\Documents and Settings\<usuario>\Menú Inicio\Programas\Inicio\CRE.EXE

- En la carpeta del sistema como :

C:\WINDOWS\SYSTEM\ICCYOA.DLL
C:\WINDOWS\SYSTEM\LGGUGAA.DLL
C:\WINDOWS\SYSTEM\ROOMUAA.DLL

- En la carpeta de Windows como :

C:\WINDOWS\OKKQSA.DAT
C:\WINDOWS\USSIWA.DAT

Además el gusano crea una entrada en el registro para ejecutarse en cada inicio del sistema

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

Terminado el proceso de copia procede a enviar mensajes infectados a todos los E-mails posibles. El gusano captura los E-mails buscando en la bandeja de entrada y en los archivos con extensión MMF, NCH, MBX, EML, TBB, DBX.

Los mensajes infectados son creados de tal forma que exploten una vulnerabilidad en Internet Explorer y puedan infectar la computadora del receptor del mensaje con tan sólo visualizar el mensaje. Más Información de la vulnerabilidad en la web de Microsoft en la siguiente dirección: Incorrect MIME Header Can Cause IE to Execute E-mail Attachment vulnerability (MS01-020)

El gusano verifica si tiene acceso a otras computadora por recursos compartidos como "C", "Mis Documentos", "WINNT', etc si se encuentra algún recurso se copia a la Carpeta de Inicio con un nombre que empieza con "C**.EXE" (Ej. CIU.EXE, CRT.EXE)

• Win95/98/ME: C:\Windows\Menú Inicio\Programas\Inicio\CUT.EXE
• XP/2000/NT: C:\Documents and Settings\<usuario>\Menú Inicio\Programas\Inicio\CRE.EXE

El gusano crea un archivo espía o Backdoor que permite controlar la computadora remotamente, el gusano abre el puerto 36794 y actua como un servidor recibiendo instrucciones para abrir, borrar, mover, envíar, recibir, copiar, ejecutar archivos entre otras operaciones.

El gusano tiene una rutina que envía los password del usuario e información del sistema a diferentes E-mails en servidores gratuitos.

Para evitar su detección, el gusano W32/Bugbear termina los siguiente procesos en memoria pertenecientes a algunos antivirus y Firewalls:

Derechos reservados 1992/2002 HackSoft S.R.L. Lima-Perú