Detectado en las últimas horas un nuevo gusano de propagación masiva
que se distribuye adjunto por correo electrónico con el falso remite
de «support@microsoft.com».
En esta ocasión las casas antivirus no se han puesto de acuerdo en
el nombre del gusano en los primeros momentos, bautizándolo entre
otros como «Ccn», «Mankx» o «Palyh», siendo este último el que mas
quórum ha conseguido finalmente.
Además del citado remite, simulando ser un mensaje de soporte de
Microsoft, el e-mail en el que se distribuye el gusano puede ser
detectado a simple vista atendiendo a los siguientes campos:
Asunto:
Your details
Approved (Ref: 38446-263)
Re: Approved (Ref: 3394-65467)
Your password
Re: My details
Screensaver
Cool screensaver
Re: Movie
Re: My application
Cuerpo:
All information is in the attached file.
Adjunto:
your_details.pif
ref-394755.pif
approved.pif
password.pif
doc_details.pif
screen_temp.pif
screen_doc.pif
movie28.pif
application.pif
En ocasiones se ha detectado la extensión .PI en vez de .PIF.
Cuando se ejecuta en un sistema, el gusano se copia en el directorio
de Windows con el nombre de archivo «msccn32.exe», además de crear los
archivos «hnks.ini» y «msdbrr.ini». Posteriormente crea las siguientes
entradas en el registro para asegurarse la activación cada vez que se
inicie el sistema:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
System Tray = %WindowsDir%\msccn32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
System Tray = %WindowsDir%\msccn32.exe
Con el mismo propósito de ejecutarse en el inicio de sistema, intenta
infectar a otros equipos a los que tiene acceso a través de los
recursos compartidos de la red, copiándose en las siguientes carpetas:
Windows\All Users\Start Menu\Programs\StartUp
Documents and Settings\All Users\Start Menu\Programs\Startup
Para propagarse por e-mail, recolecta todas las direcciones que
encuentra en los archivos con extensión .TXT, .EML, .HTML, .HTM, .DBX
y .WAB de todas las unidades a las que tiene acceso.
Como última peculiaridad, el gusano se desactiva el 31 de mayo de
2003, por lo que su rutina de propagación sólo funcionará hasta el día
30 del presente mes.
bernardo@hispasec.com
Más información:
WIN32/PALYH.A
http://www.enciclopediavirus.com/virus/vervirus.php?id=343
Win32.Palyh.A@mm.
http://www.bitdefender-es.com/virusi/virusi_descrieri.php?virus_id=146
Win32.Palyh.A
http://www3.ca.com/solutions/collateral.asp?CT=27081&CID=43146
Palyh
http://www.f-secure.com/v-descs/palyh.shtml
W32/Palyh@MM
http://vil.mcafee.com/dispVirus.asp?virus_k=100307
Palyh
http://www.pandasoftware.es/virus_info/enciclopedia/verficha.aspx?idvirus=39
628&sind=0
W32/Palyh-A
http://www.sophos.com/virusinfo/analyses/w32palyha.html
W32.HLLW.Mankx@mm
http://www.symantec.com/avcenter/venc/data/w32.hllw.mankx@mm.html
WORM_PALYH.A
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_PALYH.A
I-Worm.Palyh
http://www.viruslist.com/eng/viruslist.html?id=60521
Deja un comentario