Virus Magistr.B@mm

Efectos:

Magistr.B ha sido programado para:

• Infectar los ficheros ejectuables de tipo PE que encuentre en el sistema. Sin embargo, si el archivo encontrado tiene extensión EXE o SCR y su nombre comienza por grpc, éste no resultará infectado.
• Destruir los ficheros con extensión NTZ que encuentre en el sistema.

• Sobrescribir los ficheros que encuentra en el sistema afectado con el siguiente texto: YOUARESHIT.. Esto ocurrirá tanto en las unidades lógicas como en aquellas que ya se encuentren mapeadas o que el propio gusano pueda mapear.  Esto ocurre en el 95 por ciento de los casos. En el 5% restante, procede a borrar los ficheros que encuentra (en vez de sobrescribirlos).
• Cerrar la ventana de la aplicación de Firewall denominada ZoneAlarm en caso de que ésta se encuentre instalado en el sistema afectado.
• Mover los iconos del escritorio en la dirección del puntero del ratón.
• Sobrescribir \NTLDR y \WINDOWS\WIN.COM con un código que, al ser ejecutado, sobrescribe sectores del primer disco duro.
• Mostrar un mensaje en la pantalla.

Metodo de infección:

Magistr.B es un virus polimórfico y, por tanto, emplea un método diferente de infección en cada ocasión. Su patrón de actuación genérico es:

• Cifra  los ficheros que infecta utilizando el nombre del ordenador al que ataca.

  Magistr.B utiliza una operación XOR para realizar el cifrado de los ficheros mientras los mantiene bloqueados, es decir, no se pueden utilizar.

  Además, los ficheros infectados en el ordenador en el que se produce la infección no funcionan correctamente en otros ordenadores.

• Busca los ficheros WIN.INIy SYSTEM.INI, para modificarlos y asegurar así su activación en el siguiente arranque del ordenador.

  En concreto, Magistr.B busca estos ficheros en los siguientes directorios: 

  WINNT, WINDOWS, WIN95, WIN98, WINME, WIN2000, WIN2K  y WINXP.

• Cuando se ejecuta un fichero infectado, Magistr.B comprueba si se está ejecutando el Explorador de Windows. Esto lo hace buscando el programa EXPLORER.EXE en la memoria del ordenador.

Metodo de propagación:

Magistr.B utiliza el correo electrónico para propagarse y realizar su infección. El mensaje de infección tiene características muy variables, por lo que es difícil reconocerlo a simple vista.

Concretamente, el contenido del mensaje será un texto que Magistr.B habrá recogido al azar de un fichero existente en el ordenador afectado.

Magistr.B envía sus mensajes a los usuarios cuya dirección encuentra en la Libreta de direcciones y en las bases de datos de mensajes (ficheros con extensiones DBX y MBX) de los programas de correo Outlook Express y Eudora.

El mensaje de infección contiene un fichero con extensión PIF, COM, BAT o EXE. En ocasiones, además incluirá otro fichero con alguna de las siguientes extensiones: DOC, TXT, INI o GIF.