|
Efectos:
Mimail.T produce los siguientes efectos: - Se registra a sí mismo como un servicio de Windows, para no mostrarse en el listado de procesos del Administrador de tareas.
- Comprueba periódicamente si tiene conexión a Internet intentando conectarse a la página www.google.com.
Metodo de infección:
Mimail.T crea los siguientes archivos en el directorio de Windows: - KASPERSKY.EXE y EE98AF.TMP. Estos archivos son copias del gusano.
- OUTLOOK.CFG. Este archivo contiene todas las direcciones de correo que el gusano ha recogido en el ordenador afectado.
Mimail.T crea las siguientes entradas en el Registro de Windows: - HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
KasperskyAv = %windir%\ kaspersky.exe
donde %windir% es el directorio de Windows.
Con esta entrada, Mimail.T consigue ejecutarse cada vez que se inicia Windows. - HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer
Explorer3
Mimail.T crea esta entrada para comprobar si el ordenador ha sido ya afectado.
Metodo de propagación:
Mimail.T ha sido enviado masivamente a través del correo electrónico en un mensaje con las siguientes características: - Asunto:
Gollum - Contenido:
Hi Gollum its Nancy.
I was shocked, when I found out that it wasn't you but your twin brother!!! That's amazing, you're as like as two peas. No one in bed is better than you Gollum. I remember, I remember everything very well, that promised you to tell how it was, I'll give you a call today after 9.
<párrafo omitido>
I'm so thankful to you, for acquainted me to your br other. I think we can do it on the next Saturday all three together? What do you think? O yes, as you wanted I've made a few pictures check them out in archive, I hope they will excite you, and you will dream of our new meeting... - Archivo adjunto:
FAIL.HTA
El archivo adjunto es un archivo comprimido con Winzip. El archivo descomprimido se llama TEST.EXE. Una vez ejecutado, el ordenador quedará afectado.
Sin embargo, Mimail.T se propaga a través del correo electrónico. Para ello, realiza el siguiente proceso: - Llega al ordenador en un mensaje de correo de características variables:
Asunto: es variable; está compuesto por palabras de la siguiente lista:
Lista 1: Re:, Re[2]:, Re[3]:
Lista 2: smart, cool, sexy, super
Lista 3: pics, images, pictures, photos, photo, picture
Lista 4 (puede no aparecer): private, only for you, just for you, important, very important
Por ejemplo:
very cool pics don't show
smart photo
very nice picture
Contenido: es variable; está compuesto por palabras, una de cada una de las siguientes listas:
Lista 1: Hi, Hello, Good evening
Lista 2: my dear, my dearest, my darling
Lista 3: Adeline, Alice, Ann, Annice, Barbara, Bertha, Camilla, Cassandra, Catherine, Christina, Dorothea, Edith, Eleanor, Elizabeth, Ella, Ellen, Emma, Emmeline, Emily, Grace, Helen, Isabel, Jane, Janet, Jenny, Joanna, Johanna, Julia, Julian, Jillian, Katherine, Leonora, Lora, Lucy, Margaret, Mary, Nancy, Sarah, Valerie.
Lista 4: !, !!!, ., ,.
Lista 5: I shocked, I wondered, It's amazing.
Lista 6: My mom, My dad, My boss, My sister, My brother.
Lista 7: had.
Lista 8: wild, best, excellent.
Lista 9: sex, sex I ever seen.
Lista 10: last evening, last night.
Lista 11: with, togather with, with.
Lista 12: the.
Lista 13: boss, mom, dad, girlfriend, friend, sister, brother.
Lista 14: of.
Lista 15 (cualquiera de estos nombres): Anthony, Art, Arthur, Barry, Bart, Ben, Benjamin, Bill, Bobby, Brad, Bradley, Brendan, Brett, Brian, Bruce, Bryan, Carlos, Chad, Charles, Chris, Christopher, Chuck, Clay, Corey, Craig, Dan, Daniel, Darren, Dave, David, Dean, Dennis, Denny, Derek, Don, Doug, Duane, Edward, Eric, Eugene, Evan, Frank, Fred, Gary, Gene, George, Gordon, Greg, Harry, Henry, Hunter, Ivan, Jack, James, Jamie, Jason, Jay, Jeff, Jeffrey, Jeremy, Jim, Joe, Joel, John, Jonathan, Joseph, Justin, Keith, Ken, Kevin, Larry, Logan, Marc, Mark, Matt, Matthew, Michael, Mike, Nat, Nathan, Patrick, Paul, Perry, Peter, Philip, Phillip, Randy, Raymond, Ricardo, Richard, Rick, Rob, Robert, Rod, Roger, Ross, Ruben, Russell, Ryan, Sam, Scot, Scott, Sean, Shaun, Stephen, Steve, Steven, Stewart, Stuart, Ted, Thomas, Tim, Toby, Todd, Tom, Troy, Victor, Wade, Walter, Wayne, William.
Lista 16: !, !!!, ., :), :)), =), %-), %-( ), %-))).
Lista 17:But, And.
Lista 18:switched on, power on , turned on.
Lista 19: my digital.
Lista 20: canon, hp, samsung, viewsonic, acer, toshiba, LG, siemens, nokia, sony, panasonic, philips.
Lista 21: photo, video.
Lista 22: camera, device, cam.
Lista 23: and.
Lista 24: make, create.
Lista 25: many, some, a lot of.
Lista 26: good, cool, excellent.
Lista 27: photos, pictures, images.
Lista 28: !, !!!, ., :), :)), =), %-), %-( ), %-))).
Lista 29: Heh, Please, So, I beg you, Well, And, But.
Lista 30: don't, do not.
Lista 31: show, send.
Lista 32: it, photos, images, pictures.
Lista 33: anybody else, to somebody, to your bro, to your mom, to your bos s, to my bf, to your boyfriend, to your b/f, to my b/f.
Lista 34: ok?, okay?, deal?, I trust you., I rely on you.
Archivo adjunto:
Nombre: lo compone escogiendo una palabra de cada una de las siguientes listas:
Lista 1: MY, PRIV, PRIVATE, PRV, THE, BEST, SUPER, GREAT, COOL, WILD, SEX, FUCK.
Lista 2 (puede no existir): _, -, __.
Lista 3: PIC, IMG, PHOT, PHOTOS, PCTRS, IMAGES, IMGS, SCENE, PLP, ACT, ACTION.
Extensión: EXE, PIF, SCR, GIF.EXE, GIF.PIF, GIF.SCR, JPG.PIF, JPG.EXE, JPG.SCR. - El ordenador queda afectado cuando se ejecuta el archivo adjunto.
- Mimail.T busca direcciones de correo electrónico en todos los archivos excepto en aquellos que tengan alguna de las siguientes extensiones:
AVI, BMP, CAB, COM, DLL, EXE, GIF, JPG, MP3, MPG, OCX, PDF, PSD, RAR, TIF, VXD, WAV o ZIP. - Mimail.T se envía a sí mismo a todas las direcciones que ha recogido, utilizando su propio motor SMTP.
Otros detalles:
Mimail.T está escrito en el lenguaje de programación C mediante el compilador LCC-Win32. El gusano tiene un tamaño de 14880 Bytes cuando está comprimido con UPX, y 33824 Bytes una vez es descomprimido. El gusano contiene el siguiente texto, aunque no es mostrado en ningún momento: *** GLOBAL WARNING: if any free email company or hosting company will close/filter my email/site accounts, it will be DDoS'ed in next version. WARNING: centrum.cz will be DDoS'ed in next versions, coz they have closed my mimail-email account. Who next? ***
visit our friendly site www.blackgate.us |
