Detalles técnicos

• Nombre completo del virus: Worm.W32/Netsky.Z@MM
• Tipo de código: Worm Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores.
• Plataformas afectadas: Microsoft Windows de 32 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003/2000/NT/Me/98/95 : XP Microsoft Windows XP / 2003 Microsoft Windows Server 2003 / 2000 Microsoft Windows 2000 / NT Microsoft Windows NT / Me Microsoft Windows Millennium / 98 Microsoft Windows 98 / 95 Microsoft Windows 95
• Mecanismo principal de difusión: MM Se envía masivamente mediante mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
• Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.
• Tamaño comprimido (bytes): 22.016
• Alias:
  • WORM_NETSKY.BO (Trend Micro)
  • WORM_NETSKY.BI (Trend Micro)
  • WORM_NETSKY.Z (Trend Micro)
  • W32/Netsky-Z (Sophos)
  • W32/Netsky.Z.worm (Panda Security)
  • W32/Netsky.z@MM (McAfee)
  • W32/Netsky.z@M (McAfee)
  • W32/Netsky.z@MM!zip (McAfee)
  • W32.Netsky.Z@mm (Symantec)
  • Netsky.Z@mm (Symantec)
  • Worm.SomeFool.Z (ClamAV)
  • Email-Worm.Win32.Netsky.aa (F-Secure)
  • I-Worm.Netsky.Z (Otros)
  • Worm.SomeFool.Z (Otros)
  • Win32.Netsky.AA@mm (Bit Defender)
  • Netsky.Z@mm (Norman)
  • I-Worm.NetSky.z (Kaspersky)
  • Email-Worm.Win32.Netsky.aa (Kaspersky)
  • Win32.Netsky.z (E-safe Aladdin)
  • W32/Netsky.Z@mm (PerAntivirus)
  • I-worm.netsky.Z@mm (PerAntivirus)
  • Win32/Netsky.Z (Enciclopedia Virus)
  • Win32/Netsky.Z (ESET)
  • Worm/Netsky.Z (AVIRA)

Arriba

Propagación

Capacidad de autopropagación: Sí

Se propaga de las siguientes maneras:

Arriba

Infección/Efectos

Cuando Netsky.Z se ejecuta, realiza las siguientes acciones:

Otros detalles

Cuando Worm.W32.Netsky.Z@MM es ejecutado, realiza las siguientes acciones:

1. Se copia a sí mismo como %WinDir%\Jammer2nd.exe .
   
   Nota: %Windir% es variable. El gusano localiza el directorio de instalación de Windows (por defecto C:\Windows o C:\Winnt ) y se replica en esa ubicación.
   
   
2. Para ejecutarse automáticamente cada vez que el sistema es reiniciado, el gusano añade el valor indicado a la siguiente clave del registro de Windows:

     Clave:  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  Valor:  "Jammer2nd" = %WinDir%\JAMMER2ND.EXE 

3. Crea un mutex llamado "(S)(k)(y)(N)(e)(t)," para asegurarse de que únicamente una copia del gusano es ejecutada simultáneamente.
   
   Nota: Un mutex es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones, etc.) y evitar que más de un proceso acceda al mismo tiempo al mismo recurso. Esto previene la múltiple carga del gusano en memoria.
   
   
4. Deposita un fichero zip con el nombre %Windir%\PK_ZIPn.LOG (siendonun número entero), que contiene al propio gusano.
   
   
5. Permanece en escucha a través del puerto TCP 665 para recibir un fichero ejecutable procedente de un atacante. Cuando sea descargado, ese ejecutable será automáticamente ejecutado.
   
   
6. Si la fecha del sistema se encuentra entred el 2 y el 5 de Mayo de 2004, el gusano intentará realizar un ataque de Denegación de Servicios (DoS) contra los siguientes sitios web:
   • www.nibis.de
   • www.medinfo.ufl.edu
   • www.educa.ch
   
   Nota: La versión WORM_NETSKY.BO de Trend_Micro realiza el ataque de Denegación de Servicios (DoS) contra esos sitios Web, independientemente de la fecha del sistema.
   
   
7. Busca en todas las unidades desde la C: hasta la Z: (excepto en las de CD-ROM), y recopila direcciones de correo electrónico que se encuentren en ficheros con cualquiera de las siguientes extensiones:
   • .adb
   • .asp
   • .cfg
   • .cgi
   • .dbx
   • .dhtm
   • .doc
   • .eml
   • .htm
   • .html
   • .jsp
   • .mbx
   • .mdx
   • .mht
   • .mmf
   • .msg
   • .nch
   • .oft
   • .php
   • .ods
   • .pl
   • .ppt
   • .rtf
   • .sht
   • .shtm
   • .stm
   • .tbb
   • .txt
   • .uin
   • .vbs
   • .wab
   • .wsh
   • .xls
   • .xml
   
   
8. Utiliza su propio motor SMTP (Simple Mail Transfer Protocol) para enviarse a sí mismo a la dirección jamainlbbbsdef@yahoo.com , así como a todas las direcciones de correo recopiladas en el punto anterior.
   
   El mensaje enviado tiene las siguientes características:
   
   Remitente: - falsificado -
   
   Asunto: uno de los siguientes:
   • Hello
   • Hi
   • Important
   • Important bill!
   • Important data!
   • Important details!
   • Important document!
   • Important informations!
   • Important notice!
   • Important textfile!
   • Important!
   • Information
   
   Fichero Anexo: (siempre con extensión .zip)
   • Bill.zip
   • Data.zip
   • Details.zip
   • Important.zip
   • Informations.zip
   • Notice.zip
   • Part-2.zip
   • Textfile.zip
   
   Dentro de estos ficheros comprimidos, se encuentran los ejecutables, que tienen respectivamente, los siguientes nombres:
   • Bill.txt ( - muchos espacios en blanco - ) .exe
   • Data.txt ( - muchos espacios en blanco - ) .exe
   • Details.txt ( - muchos espacios en blanco - ) .exe
   • Important.txt ( - muchos espacios en blanco - ) .exe
   • Informations.txt ( - muchos espacios en blanco - ) .exe
   • Notice.txt ( - muchos espacios en blanco - ) .exe
   • Part-2.txt ( - muchos espacios en blanco - ) .exe
   • Textfile.txt ( - muchos espacios en blanco - ) .exe
   
   Worm.W32.Netsky.Z@MM intenta utilizar el servidor DNS por defecto para conocer la dirección IP del servidor de correo. Por ejemplo, si la dirección de correo es alguien@dominio.es , el gusano intentará recuperar la dirección IP del servidor dominio.es .
   En caso de fallar, intentará utilizar uno de los siguientes servidores DNS:
   • 145.253.2.171
   • 151.189.13.35
   • 193.141.40.42
   • 193.189.244.205
   • 193.193.144.12
   • 193.193.158.10
   • 194.25.2.129
   • 194.25.2.130
   • 194.25.2.131
   • 194.25.2.132
   • 194.25.2.133
   • 194.25.2.134
   • 195.185.185.195
   • 195.20.224.234
   • 212.185.252.136
   • 212.185.252.73
   • 212.185.253.70
   • 212.44.160.8
   • 212.7.128.162
   • 212.7.128.165
   • 213.191.74.19
   • 217.5.97.137

Arriba

Contramedidas