|
|
| Nombre: | W32/BugBear.B@MM Alias: Win32.Bugbear.B, W32/Bugbear.b@MM |
| Tipo: |
Gusano de E-mail / Redes compartidas |
| Tamaño: | 72,192 bytes |
| Origen: | Internet |
| Destructivo: | SI (roba contraseñas y envía información de la computadora) |
| En la calle (in the wild): | SI |
| Detección y eliminación: |
The Hacker 5.5, 5.4, Registro de Virus al 05/06/2003 a las 9:44am o posterior MUY IMPORTANTE: Si utiliza el registro del 05/06/2003 asegúrese que es de las 9:44am o posterior, registros entre 00:00am-9:43am no tienen incluído detección de este gusano. |
Descripción:
W32/Bugbear.B@mm, es un gusano que se propaga vía E-mail y en redes locales a través de recursos compartidos. Este gusano infecta archivos ejecutables e intenta finalizar todos los procesos de antivirus y firewalls en el computador infectado.
Este gusano utiliza la falla "Incorrect MIME Header Can Cause IE to Execute E-mail Attachment vulnerability", con esta falla Microsoft Internet Explorer 5.01 o 5.5 sin SP2 ejecuta el archivo adjunto en forma automática, el parche se encuentra en: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Características de los mensajes de E-mail:
Asunto: Variable, el gusano utiliza asuntos al azar o extrae uno de la siguiente lista
Cuerpo :Variable
Archivo Adjunto: Variable, con doble extensión que termina en
.EXE, .PIF o .SCR
Además adiciona al nombre del archivo alguna de las siguientes palabras:
------------------------------------------------------
En sistemas con Windows 95/98/Me, cuando el gusano se ejecuta se copia así mismo como:
C:\WINDOWS\Start Menu\Programs\Startup\<un nombre cualquiera de tres caracteres>.exe
C:\WINDOWS\Menú Inicio\Programas\Inicio\<un nombre cualquiera de tres caracteres>.exe
En sistemas con Windows NT/2000/XP, cuando el gusano se ejecuta se copia así mismo como:
C:\Documents and Settings\<usuario>\Start Menu\Programs\Startup\<un nombre cualquiera>.exe
C:\Documents and Settings\<usuario>\Menú Inicio\Programas\Inicio\<un nombre cualquiera>.exe
Este gusano es polimorfico e infecta a los siguientes archivos ejecutables:
| E-MAILS EN MASA: |
Terminado el proceso de copia procede a enviar mensajes infectados a todos los E-mails posibles. El gusano captura los E-mails buscando en la bandeja de entrada y en los archivos con extensión MMF, NCH, MBX, EML, TBB, DBX, OCS.
Los mensajes infectados son creados de tal forma que exploten una vulnerabilidad
en Internet Explorer y puedan infectar la computadora del receptor del mensaje
con tan sólo visualizar el mensaje. Más Información de
la vulnerabilidad en la web de Microsoft en la siguiente dirección: Incorrect
MIME Header Can Cause IE to Execute E-mail Attachment vulnerability (MS01-020)
| TROYANO / BACKDOOR / ESPIA |
El gusano crea un archivo espía o Backdoor que permite controlar la
computadora remotamente, el gusano abre el puerto 1080 y actua como un servidor
recibiendo instrucciones para abrir, borrar, mover, envíar, recibir,
copiar, ejecutar archivos entre otras operaciones.
| ROBO DE INFORMACION / CONTRASEÑAS |
El gusano tiene una rutina que envía los password del usuario e información
del sistema a diferentes E-mails en servidores gratuitos.
| ELIMINACION DE PROCESOS |
Para evitar su detección, el gusano W32/Bugbear.B@MM termina los siguiente
procesos en memoria pertenecientes a algunos antivirus y Firewalls:
|
|
|
Derechos reservados 1992/2003 HackSoft S.R.L. Lima-Perú