[B]W32/Sumom.B. Se propaga a través del MSN Messenger[/B]
Nombre: W32/Sumom.B
Tipo: Gusano de Internet
Alias: Sumom.B, Win32/Sumom.B, WORM_FATSO.B
Fecha: 8/mar/05
Plataforma: Windows 32-bit
Tamaño: 36,352 bytes (PESpin)
Este gusano se propaga a través de MSN Messenger.
Al ejecutarse, crea algunas de las siguientes copias de si mismo en los directorios C:\WINDOWS y C:\WINDOWS\SYSTEM del equipo infectado:
dsm.exe
msmpatch.exe
svosm.exe
sysup.exe
NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system32", etc.).
El gusano también crea copias de si mismo en el directorio raíz de la unidad C: con alguno de los siguientes nombres:
Crazy Japanese man kicks crazy frog!.pif
Crazy.Html
dsm.exe
Dumb Looking Goth Chick.pif
Funny Hitler parody!.pif
HillBilly Chick lol.pif
Hot Blonde!.pif
Me drunk at The Sea!.pif
Me Love You Long Time.pif
Me pic.pif
Modelling Her New Bikini.pif
My birthday pic!.pif
One Eye Granny pic!.pif
Punk Lives! lol.pif
Los atributos de todos los archivos copiados, pueden estar como ocultos (+H), no siendo visibles para un usuario con la configuración de Windows para ver archivos por defecto.
Modifica las siguientes entradas para ejecutarse en cada reinicio del sistema:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[Valor al azar] = [archivo]
HKCU\Software\Microsoft\Windows
\CurrentVersion\Policies\Explorer\Run
[Valor al azar] = [archivo]
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
[Valor al azar] = [archivo]
HKLM\Software\Microsoft\Windows
\CurrentVersion\policies\Explorer\Run
[Valor al azar] = [archivo]
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
[Valor al azar] = [archivo]
Donde [Valor al azar] puede ser alguno de los siguientes:
AvSer
DsmSer
rollbk
Y [archivo], puede tener uno de los siguientes nombres:
dsm.exe
msmpatch.exe
svosm.exe
sysup.exe
El gusano libera un documento HTML en el directorio raíz de la unidad C:, el cuál es visualizado utilizando el navegador por defecto del equipo infectado:
c:\crazy.html
Cuando ello ocurre, se intenta una conexión a Internet para actualizar un contador de la cantidad de infecciones, descargándose una imagen en formato JPG del siguiente servidor remoto:
[url]http://www.tur????orce3d.com/bilder[/url]
/annoying/annoying_desktop_2_1024x768.jpg
Donde "annoying_desktop_2_1024x768.jpg" es la siguiente imagen:
Modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde la máquina infectada:
avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
grisoft .com
kaspersky .com
kaspersky-labs .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
sandbox .norman .no
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
uk .trendmicro-europe .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .grisoft .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .pandasoftware .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .viruslist .com
El gusano cambia el nivel de seguridad de Windows, modificando las siguientes entradas del registro para deshabilitar las opciones que permiten restaurar el sistema automáticamente:
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
DisableConfig = "0"
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
DisableSR = "0"