|
Efectos:
Sober.Y no tiene efectos destructivos. Se limita a mostrar el siguiente mensaje de error cuando es ejecutado: 
Metodo de infección:
Sober.Y crea los siguientes archivos: - SERVICES.EXE. Este archivo es una copia del gusano.
- SOCKET.DLI. Este archivo contiene las direcciones de correo electrónico que Sober.Y recoge del ordenador afectado, y a las cuales enviará una copia de sí mismo.
- NETSLOT.NST. Es un archivo en formato MIME que contiene una copia del gusano comprimida en formato ZIP.
Estos tres archivos son creados en una subcarpeta llamada CONNECTIONSTATUS, que él mismo crea en el directorio de Windows. - NONRUNSO.BER, RUBEZAHL.RUB, SEPPELMX.SMX, LANGEINF.LIN y GDFJGTHV.CVQ, de 0 Bytes, en el directorio de sistema de Windows.
Sober.Y crea las siguientes entradas en el Registro de Windows: - HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
_WinINet = %windir%\ ConnectionStatus\ services.exe - HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
WinINet = %windir%\ ConnectionStatus\ services.exe
donde %windir% es el directorio de Windows.
Mediante estas entradas, Sober.Y consigue ejecutarse siempre que Windows se inicia.
Metodo de propagación:
Sober.Y se propaga a través del correo electrónico. Para ello, realiza el siguiente proceso: - Llega al ordenador en un mensaje de correo electrónico escrito en inglés o alemán. Tanto el asunto como el mensaje estarán escritos en alemán únicamente si la extensión del dominio de correo es: de (Alemania), ch (Suiza), at (Austria) or li (Liechtenstein).
MENSAJE EN INGLÉS
Asunto:
Your new Password
Contenido:
hi,
Your password was successfully changed!
Please see the attached file for detailed information.
Archivo adjunto:
PWORD_CHANGE.ZIP
MENSAJE EN ALEMÁN
Asunto:
Fwd:Klassentreffen
Contenido:
hi,
ich hoffe jetzt mal das ich endlich die richtige person erwischt habe!
ich habe jedenfalls mal unser klassenfoto von damals mit angehõngt.
wenn du dich dort wiedererkennst, dann schreibe unbedingt zurck!!
wenn ich aber wieder mal die falsche person erwischt habe, dann sorry fr die belõstigung ;)
liebe gr
Rita,Sandra,Nicole,Hannelore,Kerstin,Elke
Archivo adjunto:
KLASSENFOTO.ZIP
- El ordenador es afectado cuando el archivo adjunto es ejecutado.
- Sober.Y busca direcciones de correo electrónico en archivos que tengan las siguientes extensiones:
ABC, ABD, ABX, ADB, ADE, ADP, ADR, ASP, BAK, BAS, CFG, CGI, CLS, CMS, CSV, CTL, DBX, DHTM, DOC, DSP, DSW, EML, FDB, FRM, HLP, IMB, IMH, IMM, INBOX, INI, JSP, LDB, LDIF, LOG, MBX, MDA, MDB, MDE, MDW, MDX, MHT, MMF, MSG, NAB, NCH, NFO, NSF, NWS, ODS, OFT, PHP, PHTM, PL, PMR, PP, PPT, PST, RTF, SHTML, SLK, SLN, STM, TBB, TXT, UIN, VAP, VBS, VCF, WAB, WSH, XHTML, XLS y XML. - Sober.Y envía una copia de sí mismo a todas las direcciones que ha recogido, empleando para ello su propio motor SMTP.
Otros detalles:
Sober.Y está escrito en el lenguaje de programación Visual Basic. Este gusano tiene un tamaño de 113.551 Bytes, y está comprimido mediante UPX. |
