Virus Verona

Efectos:

Verona se activa produciendo los siguientes efectos:

• Se propaga masivamente por correo.
• Se muestra como una tarea más en la Barra de tareas de Windows.
• Muestra una ventana en el Escritorio de Windows.

Metodo de infección:

Verona crea los siguientes ficheros en el directorio temporal de Windows:

• MYJULIET.CHM, incluido dentro del mensaje que provocó la infección. Verona está aprovechando una vulnerabilidad de Internet Explorer 5.x que permite ejecutar programas utilizando ficheros con extensión CHM.

• MYROMEO.EXE, que deberá estar en el directorio temporal de Windows, cuya ruta ha de ser necesariamente: C:\WINDOWS\ TEMP. En caso contrario, si por ejemplo el sistema operativo estuviera en otra ruta, tal fichero no existirá.

Verona modifica las siguientes entradas en el Registro de Windows:

• HKEY_CURRENT_USER\ Software\ Microsoft\ WAB\ Wab File Name
  De este modo, el gusano accede a un fichero con extensión WAB para recoger las direcciones de correo almacenados en el sistema atacado.

• HKEY_CURRENT_USER\ Software\ Microsoft\ Internet AccountManager\ Accounts\ 00000001\ SMTP Email Address.
  Con esta entrada, el gusano logra obtener la dirección SMTP que el equipo afectado utiliza para el envío de los mensajes.

Metodo de propagación:

Verona se propaga a través del correo electrónico, siguiendo el proceso que se detalla a continuación:

• Verona llega en un mensaje de correo electrónico con las siguientes características:
  
  Asunto: es variable, pudiendo ser uno de los siguientes:
  
  Romeo&Juliet
  :)))))
  hello world
  !!??!?!?
  subject
  ble bla, bee
  I Love You ;)
  Sorry...
  Hey you !
  Matrix has you...
  My picture
  From shake-beer
  
  Ficheros adjuntos:
  MYROMEO.EXE y MYJULIET.CHM.
• Verona se activa en cuanto el mensaje de correo electrónico es visualizado mediante la Vista Previa o abierto.
• Verona obtiene las direcciones de correo electrónico almacenadas en el sistema y envía los ficheros MYROMEO.EXE y MYJULIET.CHM.
• Verona utiliza seis servidores SMTP ubicados en Polonia para enviar los mensajes de correo electrónico:
  212.244.199.2 à gate2.panoramix.net.pl
  195.117.152.91 à inter-grafix.com.pl
  195.116.62.86 à madmax.quadrosoft.com
  194.153.216.60 à mail1.getin.pl
  195.117.99.98 à promail.pl
  213.25.111.2 à memo.gate.pl

Otros detalles:

Verona está escrito en el lenguaje de programación Delphi. El fichero MYROMEO.EXE es un programa ejecutable con formato PE que tiene un tamaño de aproximadamente 29 KBytes cuando se encuentra comprimido mediante UPX, y de alrededor de 60 KBytes una vez es descomprimido.