Nuevo gusano disfrazado con remite de "support@microsoft.com"

Detectado en las últimas horas un nuevo gusano de propagación masiva
que se distribuye adjunto por correo electrónico con el falso remite
de «support@microsoft.com».

En esta ocasión las casas antivirus no se han puesto de acuerdo en
el nombre del gusano en los primeros momentos, bautizándolo entre
otros como «Ccn», «Mankx» o «Palyh», siendo este último el que mas
quórum ha conseguido finalmente.

Además del citado remite, simulando ser un mensaje de soporte de
Microsoft, el e-mail en el que se distribuye el gusano puede ser
detectado a simple vista atendiendo a los siguientes campos:

Asunto:

Your details
Approved (Ref: 38446-263)
Re: Approved (Ref: 3394-65467)
Your password
Re: My details
Screensaver
Cool screensaver
Re: Movie
Re: My application

Cuerpo:

All information is in the attached file.

Adjunto:

your_details.pif
ref-394755.pif
approved.pif
password.pif
doc_details.pif
screen_temp.pif
screen_doc.pif
movie28.pif
application.pif

En ocasiones se ha detectado la extensión .PI en vez de .PIF.

Cuando se ejecuta en un sistema, el gusano se copia en el directorio
de Windows con el nombre de archivo «msccn32.exe», además de crear los
archivos «hnks.ini» y «msdbrr.ini». Posteriormente crea las siguientes
entradas en el registro para asegurarse la activación cada vez que se
inicie el sistema:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
System Tray = %WindowsDir%\msccn32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
System Tray = %WindowsDir%\msccn32.exe

Con el mismo propósito de ejecutarse en el inicio de sistema, intenta
infectar a otros equipos a los que tiene acceso a través de los
recursos compartidos de la red, copiándose en las siguientes carpetas:

Windows\All Users\Start Menu\Programs\StartUp
Documents and Settings\All Users\Start Menu\Programs\Startup

Para propagarse por e-mail, recolecta todas las direcciones que
encuentra en los archivos con extensión .TXT, .EML, .HTML, .HTM, .DBX
y .WAB de todas las unidades a las que tiene acceso.

Como última peculiaridad, el gusano se desactiva el 31 de mayo de
2003, por lo que su rutina de propagación sólo funcionará hasta el día
30 del presente mes.

Más información:

WIN32/PALYH.A
http://www.enciclopediavirus.com/virus/vervirus.php?id=343

Win32.Palyh.A@mm.
http://www.bitdefender-es.com/virusi/virusi_descrieri.php?virus_id=146

Win32.Palyh.A
http://www3.ca.com/solutions/collateral.asp?CT=27081&CID=43146

Palyh
http://www.f-secure.com/v-descs/palyh.shtml

W32/Palyh@MM
http://vil.mcafee.com/dispVirus.asp?virus_k=100307

Palyh
http://www.pandasoftware.es/virus_info/enciclopedia/verficha.aspx?idvirus=39
628&sind=0

W32/Palyh-A
http://www.sophos.com/virusinfo/analyses/w32palyha.html

W32.HLLW.Mankx@mm
http://www.symantec.com/avcenter/venc/data/w32.hllw.mankx@mm.html

WORM_PALYH.A
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_PALYH.A

I-Worm.Palyh
http://www.viruslist.com/eng/viruslist.html?id=60521

Acerca de Hispasec

Hispasec Ha escrito 6939 publicaciones.

• View all posts by Hispasec →
• Blog