Virus Wukill.A

Efectos:

Wukill.A realiza las siguientes acciones:

• Oculta la vista de archivos ocultos y de sistema, si se tenía activada dicha opción.
• Oculta la visualización por defecto de las extensiones reconocidas por Windows.
• Muestra el siguiente mensaje en pantalla cuando es ejecutado en ordenadores con Windows XP/2000/NT:
  
  
• En ordenadores con Windows Me/98/95, ejecuta el programa Windows File Manager.

Nota: en Septiembre de 2005, PandaLabs detectó un troyano llamado SymbOS/Multidropper.A, que afecta a teléfonos móviles con sistema operativo Symbian. Dicho troyano copiaba los archivos pertenecientes a los gusanos Wukill.A y Korgo.BF en la memoria SD del teléfono. Por lo tanto, aunque estos gusanos están específicamente escritos para ordenadores con sistema operativo Windows y no son ejecutables en Symbian, sus archivos podrían ser detectados en teléfonos móviles. Para más información, le recomendamos que consulte la información sobre Multidropper.A.

Metodo de infección:

Wukill.A crea el fichero MSTRAY.EXE en el directorio de Windows. Este fichero es una copia del gusano.

Wukill.A crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  RavTimeXP = %windir%\Mstray.exe
  donde %windir% es el directorio de Windows.
  Mediante esta entrada, Wukill.A consigue ejecutarse cada vez que se inicia Windows.

Wukill.A modifica las siguientes entradas del Registro de Windows:

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advance
  Hidden = 0
  Modificando esta entrada, Wukill.A impide que sean visibles los ficheros que tengan el atributo de oculto.
• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advance
  HideFileExt = 1
  Modificando este valor, Wukill.A impide que se muestren por defecto las extensiones de los ficheros reconocidos por Windows.

Metodo de propagación:

Wukill.A se propaga a través del correo electrónico y de las unidades de disco.

1.- Propagación a través del correo electrónico.

Wukill.A realiza el siguiente proceso:

• Llega como archivo adjunto en un mensaje de correo electrónico.
• Una vez es ejecutado el archivo adjunto, el ordenador queda afectado.
• Wukill.A envía una copia de sí mismo por correo electrónico a todos los contactos que aparezcan en la Libreta de direcciones de Windows.

2.- Propagación a través de unidades de disco.

Wukill.A realiza una copia de sí mismo en el directorio raíz de las unidades A:, C:, D: y E:. Las unidades D: y E: pueden ser tanto unidades locales como unidades mapeadas de red.

De esta forma, Wukill.A puede emplear tanto disquetes como redes de ordenadores para propagarse a otros equipos.

Otros detalles:

Wukill.A ha sido escrito en el lenguaje de programación Visual Basic. El gusano tiene un tamaño de 49152 Bytes.