Worm.W32/Mimail.U@MM
Alias:
WORM_MIMAIL.U (Trend Micro), W32/Mimail.u@MM (McAfee),
W32.Dumaru.AH@mm (Symantec), W32/Dumaru.AH@mm (PerAntivirus),
W32/Dumaru.AA.worm (Panda Software), W32/Dumaru.ad@MM (McAfee)
Descripción:
Gusano polimórfico (capaz de alterar su código para dificultar su
detección) residente en memoria que utiliza su propio motor SMTP
para enviarse por correo electrónico a direcciones recogidas de
ficheros de la máquina infectada.
Es capaz de capturar pulsaciones del teclado (con lo que podría
capturar información sensible), roba información del sistema y la
envía a un usuario remoto.
Detalles:
Instalación:
Cuando el gusano es ejecutado, muestra la siguiente imagen:
Imagen de Panda Software
se copia con el nombre NLOAD.EXE en la carpeta raíz de la
unidad actual, y una o más copias en la carpeta de sistema de
Windows con nombres:
Además se puede copiar en la carpeta de inicio como 1111B.EXE
Crea la siguiente entrada de autoejecución en el registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
load32="%System%\1111a.exe"
y añade la siguiente linea al fichero SYSTEM.INI bajo la sección
[boot]:
shell=explorer.exe C:\WINDOWS\SYSTEM\1111c.exe
Difusión mediante correo electrónico:
Este gusano usa su propio motor SMTP (Simple Mail Transfer
Protocol) para enviarse a direcciones de correo que busca en la
máquina infectada en ficheros con las siguientes extensiones:
El correo en el que se envía tiene las siguientes características:
Remitente:
newvirus@kaspersky.ru
Asunto: [Aleatorio]
Cuerpo del mensaje:
If you cant see message text from: , read attached file.
Adjunto: Document.zip
El fichero adjunto está comprimido en formato ZIP. Contiene el
fichero MYPHOTO.JPG [espacios en blanco] .EXE.
Robo de información:
El gusano roba la siguiente información y al envía a un usuario
remoto:
- Nombre de usuario y contraseña de
cuentas POP3
- Nombre de usuario y contraseña de
cuentas E-gold
- Versión de Windows
- Versión de Internet Explorer
- Contenido del portapapeles
También pude actuar como capturador de pulsaciones del teclado, que
es almacenada en los siguientes ficheros para enviarla al usuario
remoto:
- 1111k.log
- 1111c.log
- 1111mail.log
Otros detalles:
El gusano descarta un fichero con nombre 1.EXE de un cierto sitio
web.
Solución:
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del
virus en el disco duro de su PC. Si no dispone de antivirus,
visite nuestra página de Antivirus
gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los
ficheros, puede ser debido a que el fichero está en uso por
estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede
reparar un fichero' en el caso de gusanos o troyanos debido a
que no hay nada que reparar, simplemente hay que borrar el
fichero.
- En el caso de que no se pueda eliminar el fichero del virus,
debe terminar manualmente el proceso en ejecución del virus.
Abra el Administrador de tareas (presione Control+Mayúsculas+Esc).
En Windows 98/Me seleccione el nombre del proceso y deténgalo.
En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho
en el proceso y seleccione 'Terminar Proceso'. A continuación
vuelva a intentar el borrado o reparación del fichero.
- A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
Elimine las siguientes entradas del registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
load32="%System%\1111a.exe"
- Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.
Más información acerca de este virus en:
Fuente: red.es |
