W32/Stration.AV

W32/Stration.AV

Nombre:	W32/Stration.AV Alias: W32.Stration.AV@mm
Tipo:	Gusano
Tamaño:	89,752 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.0 al 20/09/2006.

Descripción:

W32/Stration.AV, es un gusano que se difunde a través de envió masivo de e-mail, busca direcciones de e-mail dentro de archivos con las siguientes extensiones .adb, .asp, .cfg, .cgi, .dbx, .dhtm, .eml, .htm, .html, .jsp, .mbx, .mdx, .mht, .mmf, .msg, .nch, .ods, .oft, .php, .sht, .shtm, .stm, .tbb, .txt, .uin, .wab, .wsh, .xls y .xml para luego enviarse a si mismo a todas las direcciones encontradas.

Características del Mensaje de Email:

Asunto: [Variable uno de los siguientes]

Good Day
Server Report
hello
picture
Status
test
Error
Mail Delivery System
Mail Transaction Failed
Mail Server Report

Cuerpo: [Variable uno de los siguientes]

The message contains Unicode characters and has been sentas a binary attachment.
Mail transaction failed. Partial message is available.
The message cannot be represented in 7-bit ASCII encodingand has been sent as a binary attachment.

Archivo Adjunto: [Variable uno de los siguientes nombres, seguido de dobles extensiones]

body
data
doc
docs
document
file
message
readme
test
text
Update-KB[número aleatorio]-x86

- Primera extensión, puede ser una de las siguientes (.log, .elm, .msg, .txt o .dat)

- Segunda extensión, seguido por espacios en blanco y por una de las siguientes extensiones (.bat, .cmd, .scr, .exe y .pif)

----------------------------

Cuando el gusano se ejecuta abre el Block de Notas y visualiza el contenido del archivo .tmp y seguidamente se copia a si mismo dentro de:

%windows%\rsmb32.exe

Luego crea los siguientes archivos dentro de:

%windows%\rsmb32.dll
%windows%\rsmb32.wax
%windows%\rsmb32.gfx
%CurrentFolder%\[nombre-aleatorio].tmp

Nota:

- %windows%, representa la carpeta de instalación de Windows (Ej. C:\WINDOWS, C:\WINNT)

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).

Además crea las siguientes entradas en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"rsmb32"="%windows%\rsmb32.exe s"

Finalmente descarga y ejecuta archivos desde el siguiente sitio

http://gadesunheranwui.com/