W32/Netsky.P@MM
Imprimir descripción de Virus
Nombre: W32/Netsky.P@MM
Alias: W32.Netsky.P@mm, W32/Netsky.p@MM,
Tipo: Gusano
Tamaño: 29,568 bytes
Origen: Internet
Destructivo: SI
En la calle  (in the wild): SI
Detección y eliminación: The Hacker 5.6, con Registro de Virus v00128 (22/03/2004)

Descripción

W32/Netsky.P@MM es un gusano que se difunde a través de envio masivos de e-mails. Utiliza su propio motor SMTP para enviarse a si mismo a todas las direcciones de e-mail que encuentre en el computador atacado y en archivos que tienen las siguientes extensiones, .eml, .txt, .php, .pl, .htm, .html, .jsp, .vbs, .rtf, .uin, .asp, .wab, .doc, .adb, .tbb, .dbx, .sht, .oft, .msg, .shtm, .cgi, .dhtm, .wsh y .xml.

Ignora direcciones de e-mail que estén conformadas por las siguientes cadenas de texto:

Características del mensaje de E-mail:

Asunto: [Al azar, esta compuesto por tres partes:]

Cuerpo: [Al azar entre: ]

Archivo Adjunto: [alguno de los siguientes con la extensión .txt, .doc, y seguida por una doble extensión .exe, .pif, .scr o .zip]

-----------------------------------

Cuando el gusano se ejecuta crea un mutex llamado "_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_" el cual le permite que sólo una instancia del gusano se ejecute en memoria.

Seguidamente se copia a sí mismo como %windows%\FVProtect.exe

Además modifica una entrada en el registro del sistema para poder ejecutarse en cada reinicio del sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

"Norton Antivirus AV"="%windows%\FVProtect.exe"

 

Nota:
- %windows% representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)
 

También crea los siguientes archivos en:

%windows%\userconfig9x.dll

%windows%\base64.tmp

%windows%\zip1.tmp

%windows%\zip2.tmp

%windows%\zip3.tmp

%windows%\zipped.tmp


También elimina los siguientes valores:

Que encuentra en:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Finalmente eliminará los valores de las siguientes entradas:

 

HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WksPatch

 

Busca en todo el disco duro por carpetas que contengan las siguientes cadenas de texto en su nombre:

 

y se copiará dentro de estas con los siguientes nombres:

 

 

Derechos reservados 1992/2004 HackSoft S.R.L. Lima-Perú