Gusano W32/Fbound.c: sin peligro

Llega bajo el nombre de archivo «patch.exe» adjunto en un e-mail con
el asunto «Important». Se trata de un gusano puro, no escribe nada
en los sistemas infectados ni realiza modificación alguna, una vez
es ejecutado sólo se distribuye a todos los destinatarios que encuentra
en la libreta de direcciones de Windows. Pese a que ha tenido cierta
incidencia en algunas zonas, en los países de habla hispana no hay
indicios significativos, y se espera que los pocos brotes detectados
remitan en breve.
Tiene un tamaño de 12.288 bytes y está escrito en ensamblador. Como
hemos dicho, el gusano no realiza ninguna modificación en el sistema,
el único efecto colateral que puede acarrear es el colapso en los
servidores de correo si se produjera una propagación masiva. Las
únicas acciones del gusano se limitan a enviarse adjunto por e-mail
una vez leídas algunas entradas del registro:

HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\(Default account id)\SMTP Server

HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\(Default account id)\SMTP Email Address

En la primera de ellas recopila todos los destinatarios a donde
enviarse desde la libreta de direcciones de Windows (WAB – Windows
Address Book). En la siguiente entrada lee el servidor de correo SMTP
por defecto en el sistema que utilizará para autoenviarse. En la
tercera y última entrada del registro recoge la dirección de correo
del usuario que ha sido infectado, que utilizará como remitente en sus
mensajes de propagación.

Parece ser que Japón es el país de origen de su creador, tanto por la
cadena «I-Worm.Japanize» que puede encontrarse en su código, como el
asunto en japones de los e-mails, elegido al azar entre 17 posibles,
que el virus incluye en el caso de que la dirección de destino
finalice en «.jp».

A priori, no hay ninguna razón especial por la que este gusano tan
simple y evidente haya tenido cierta repercusión. Algunas casas
antivirus lo han situado en alerta media, si bien la incidencia en
España, por ejemplo, se presenta hasta el momento como nula.

Bernardo Quintero
bernardo@hispasec.com

Más información:

Win32.Fbound.C@mm – BitDefender
http://www.bitdefender.com/virusi/virusi_descrieri.php?virus_id=59

Win32.Fbound.C – CAi
http://www3.ca.com/virus/virus.asp?ID=11521

I-Worm.Zircon.c – Kaspersky
http://www.avp.ch/avpve/worms/email/zircon.stm

W32/Fbound.c@MM – McAfee
http://vil.nai.com/vil/content/v_99386.htm

W32/FBound.C – Norman
http://www.norman.com/virus_info/w32_fbound_c_mm.shtml

W32/Fbound.C – Panda Software
http://service.pandasoftware.es/enciclopedia/ficha.jsp?Virus=W32/Fbound.C

Win32/Fbound.B – Proland
http://www.protectorplus.com/virus_info/worms/fbound.htm

W32/FBound-C – Sophos
http://www.sophos.com/virusinfo/analyses/w32fboundc.html

W32/FBound-C – Sybari
http://www.sybari.com/home/pressrelease.asp?id=1016125315

W32.Impo.gen@mm – Symantec
http://www.sarc.com/avcenter/venc/data/w32.impo.gen@mm.html