Virus Loveletter.UNK

Efectos:

Loveletter.UNK realiza su infección, produciendo los siguientes efectos:

• Descarga desde Internet un troyano conocido como Barok.
• Recoge información confidencial del ordenador afectado, cada 48 segundos, a partir del día siguiente a la infección. Concretamente, la siguiente:

  Las contraseñas de Windows.

  Los datos personales incluidos en la agenda correspondiente a la conexión de acceso telefónico a redes (RAS - Remote Access Services) del usuario infectado.

  Estos datos de la conexión a Internet son: nombre de usuario, contraseña, número de teléfono del usuario (incluyendo prefijo de país y área), dirección  IP de su ordenador, DNS y WINS correspondiente al servidor que se utiliza para la conexión (primario y secundario).

• Envía la información recogida en el ordenador infectado, a la dirección de correo electrónico mailme@super.net.ph.
• Modifica los siguientes ficheros:

  Ficheros con extensión VBS, VBE, JS, JSE, CSS, WSH, SCT o HTA. Sustituye dichas extensiones originales, por la extensión VBS y  sobrescribe el contenido de cada uno de ellos, variando su tamaño. Si el fichero llevaba por nombre ESTILO.CSS, ahora será ESTILO.VBS.

  Dependiendo de la variante de Loveletter, también se verán afectados los ficheros con extensiones: JPG, JPEG, MP3, MP2, COM, BAT, HTM, HTML, etc.

Metodo de infección:

Para realizar su infección, Loveletter.UNK crea los siguientes ficheros:

• MSKERNEL32.VBS, en el directorio windows/system, que es una copia del propio gusano Loveletter.UNK.
• WIN32DLL.VBS, en el directorio de instalación de Windows, es otra copia de Loveletter.UNK.
• XXXXX.VBS , en el directorio windows/system, que es una copia del propio gusano Loveletter.UNK. El nombre del fichero es diferente para algunas de las variantes de Loveletter. Este es el fichero que Loveletter.UNK envía posteriormente por correo electrónico.
• XXXXX.HTM, en el directorio windows/system. El nombre del fichero es diferente para algunas de las variantes de Loveletter. Es el fichero que Loveletter.UNK envía posteriormente a través del chat IRC.
• SCRIPT.INI, es el fichero que Loveletter.UNK utiliza para conseguir su propagación a través de chat IRC.Sólo crea este fichero si el programa de chatmIRC está instalado en el ordenador afectado.

  Loveletter.UNK comprueba si está instalado el programa mIRC, buscando los ficheros MIRC32.EXE, MLINK32.EXE, MIRC.INI, SCRIPT.INI o MIRC.HLP en el disco duro del ordenador infectado o en las unidades de disco de la red accesibles desde él.

Metodo de propagación:

Loveletter.UNK utiliza principalmente el correo electrónico y el chat IRC para propagarse.

La infección por correo electrónico, sigue este patrón:

• Llega oculto en un mensaje de correo electrónico.
• Se activa al ejecutar el fichero adjunto al mensaje.

• Se reenvía por sí mismo a todos los contactos almacenados en la Libreta de direcciones.

La infección a través del chat IRC, sigue este patrón:

• Loveletter.UNK sólo utiliza este medio si está instalado el programa mIRC.
• Cuando el usuario infectado se conecta a un canal del chat IRC Loveletter.UNK envía un fichero con extensión HTM a todas las personas conectadas a dicho canal, en ese momento.