Recientemente, en medio de una oleada vírica que ha dejado tras su
paso una considerable cantidad de nuevos gusanos (`i-worms´), ha
aparecido «Req», un espécimen que, una vez ejecutado en una máquina
remota, roba documentos generados por un programa del Union Bank de
Suiza, en caso de existir, y los envía al autor del «malware».
Se trata de un gusano programado en lenguaje VBS (`Visual Basic
Script´), al igual que otros más famosos como «I love you». Este
espécimen es capaz de funcionar sólo en aquellos ordenadores en los
que se haya instalado una copia de la versión comercial de Microsoft
Outlook, que es el programa que emplea como pasarela para poder
enviarse a otras direcciones de correo electrónico y proseguir así
su ciclo reproductor a través de la Red.
«Req» se presenta en forma de e-mail, cuyo único texto es «Thank
for your order and your confidence in us.» (gracias por su pedido
y su confianza en nosotros); el mensaje lleva como título la frase
«requested info» (información solicitada), e incluye un fichero
adjunto, el archivo portador del código maligno, bajo el nombre
«REQUESTED_INFO.DOC.vbs». El espécimen aprovecha de esta forma la
posible ingenuidad de quien reciba el mensaje y se decida a abrirlo,
pensando que se trata de un documento (.DOC), y no de un formato de
secuencia de comandos (.vbs) que puede ocultar un virus, algo que
resulta mucho más difícil de detectar en el supuesto de que, según
la configuración de cada sistema, llegase a omitirse el «.vbs» del
final, apareciendo «.DOC» como única extensión.
Una vez ejecutado, el gusano procede a buscar en el disco duro del
usuario infectado documentos generados por un programa que el Union
Bank de Suiza proporciona a sus clientes para efectuar pagos por
medio de Internet (una especie de «resguardos electrónicos») y, en
caso de encontrar alguno, lo envía a tres direcciones de correo,
pertenecientes al autor del espécimen.
El ciclo vital de «Req» se completa en el momento en que accede a
la libreta de cuentas de Microsoft Outlook (en la que, por defecto,
se almacenan las direcciones de aquellas personas a las que el
propietario del sistema envía e-mails), y manda una copia de su
código a cada una de las entradas existentes, sin fijar en ningún
caso un límite máximo de destinatarios, a diferencia de otros virus
o gusanos, como por ejemplo «Melissa».
talvanti@hispasec.com
Más información:
I-Worm.Req
http://www.avp.ch/avpve/worms/email/req.stm
VBS/Req.A@MM
http://vil.nai.com/vil/virusChar.asp?virus_k=98898
VBS_REQ.A
http://www.antivirus.com/vinfo/virusencyclo/default5.asp?VName=VBS_REQ.A
Deja un comentario