Virus PrettyPark

Efectos:

Los efectos que produce PrettyPark son:

• Elimina información en los ordenadores que infecta.
• Obtiene información confidencial de los ordenadores afectados, como las contraseñas, con el fin de hacerla pública posteriormente.
• Borra directorios y crea otros nuevos.

Metodo de infección:

PrettyPark sigue el siguiente patrón de infección:

• Analiza la memoria del ordenador para comprobar si ya está infectado.

  Para hacerlo, busca programas que contengan el texto #32770 en su cabecera. Si el virus no encuentra infecciones anteriores, se instala en el ordenador como un programa oculto.

• Cuando PrettyPark encuentra dificultades para instalarse, ejecuta un salvapantallas (SSPIPES.SCR o en su defecto CANALISATION3D.SCR).

  Esto sólo lo hace para pasar desapercibido en ordenadores con Windows 98, Windows 95 o Windows NT, configurados en lengua francesa.

• Una vez instalado, crea el fichero FILES32.VXD que sitúa en el directorio C:\Windows\System.

  A pesar de tener extensión VXD, no se trata de un controlador de Windows 9x. Por el contrario, es un programa ejecutable que tiene asociado un icono representando a un personaje de la serie de dibujos animados South Park.
  
  

• PrettyPark modifica la siguiente entrada del Registro de Windows:
  
  HKEY_CLASSES_ROOT\ exefile\ shell\ open\ command
  De este modo, consigue activarse cada vez que se ejecute cualquier otro programa.

• Se conecta a Internet para propagarse a través del correo electrónico y del chat IRC, ejecutando dos rutinas que lleva consigo.

Metodo de propagación:

PrettyPark utiliza principalmente el correo electrónico para difundirse, pero también emplea el chat de IRC.

Se propaga a través del correo electrónico, actuando del siguiente modo:

• Llega en un mensaje que incluye el fichero PRETTY PARK.EXE.
• Se activa cuando se ejecuta el archivo PRETTY PARK.EXE, incluido en el mensaje.
• Se envía automáticamente a todas las direcciones que encuentra en la Libreta de direcciones del ordenadorafectado.
  Estos correos también permiten a PrettyPark difundir información del usuario infectado, como contraseñas, con el fin de hacerla pública posteriormente.

Se propaga a través del chat IRC, actuando del siguiente modo:

• Cada 30 segundos, intenta conectarse a uno de estos servidores de IRC:
  
  

  irc.twiny.net, irc.stealth.net, irc.grolier.net, irc.club-internet.fr, ircnet.irc.aol.com, irc.emn.fr, irc.anet.com, irc.insat.com, irc.ncal.verio.net, irc.cifnet.com, irc.skybel.net, irc.eurecom.fr, irc.easynet.co.uk.

• Si establece conexión con alguno de estos servidores, se envía a todos los usuarios que se encuentren conectados.

Otros detalles:

Pretty Park es un programa de tipo PE (Portable Ejecutable) escrito en lenguaje de programación Delphi.

Inicialmente se presenta comprimido mediante la aplicación WWPack32, con un tamaño de 37 Kbytes. Sin embargo, una vez descomprimido, alcanza los 57 Kbytes.