Detalles técnicos

• Nombre completo del virus: Worm.W32/Zafi.D@MM+P2P
• Tipo de código: Worm Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores.
• Plataformas afectadas: Microsoft Windows de 32 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003/2000/NT/Me/98/95 : XP Microsoft Windows XP / 2003 Microsoft Windows Server 2003 / 2000 Microsoft Windows 2000 / NT Microsoft Windows NT / Me Microsoft Windows Millennium / 98 Microsoft Windows 98 / 95 Microsoft Windows 95
• Mecanismo principal de difusión: MM Se envía masivamente mediante mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado. + P2P Se difunde por redes de compartición de ficheros P2P (peer to peer).
• Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.
• Tamaño comprimido (bytes): 11.745
• Alias:

Arriba

Propagación

Capacidad de autopropagación: Sí

Se propaga de las siguientes maneras:

Arriba

Infección/Efectos

Cuando Zafi.D se ejecuta, realiza las siguientes acciones:

Otros detalles

Efectos

Cuando el gusano es ejecutado muestra el siguiente mensaje (falso):

Imagen de Panda Sw

Para difucultar la identificación manual del gusano intenta impedir la ejecución de procesos en cuyo nombre figuren las siguientes cadenas:

• reged
• msconfig
• task

Abre el puerto 8181 del equipo infectado, y espera que un fichero sea transferido a través del mismo.
Seguidamente ejecuta este archivo, que generalmente se corresponde con otra amenaza.

Busca ficheros con extensión .exe en carpetas cuyos nombres contengan las siguientes cadenas:

• syman
• viru
• trend
• secur
• panda
• cafee
• sopho
• kasper

Instalación

Este gusano crea los siguientes ficheros en la carpeta %windir%\system32:

• C:\WINNT\system32\ .EXE - 11.745 bytes
• C:\WINNT\system32\Norton Update.exe - 11.745 bytes
• C:\WINNT\system32\[caracteres aleatorios] .DLL - (gusano comprimido)
• C:\s.cm - 20,552 bytes (módulo dll de winzipe)

Donde %windir% es la carpeta de instalación de Windows, por defecto C:\Windows en Windows XP.

Crea el siguiente valor:

 "Wxp4" = "%System%\Norton Update.exe" 

bajo la clave del registro:

 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 

para ser ejecutado durante el inicio de sesión del usuario.

Además crea varias entradas bajo la clave

 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wxp4 

donde almacena su información.

Difusión por correo electrónico

Este virus recoge direcciones de correo electrónico de ficheros del PC infectado con las siguientes extensiones:

• htm
• wab
• txt
• dbx
• tbb
• asp
• php
• sht
• adb
• mbx
• eml
• pmr
• fpt
• inb

que guarda en la carpeta de sistema de Windows usando nombres aleatorios con extensión DLL.

Utiliza su propio motor SMTP para enviar mensajes con las siguientes características:

• Remitente: (Falsificado)
  
• Asunto: (Uno de los siguientes)
  
  • Merry Christmas!
  • boldog karacsony...
  • Feliz Navidad!
  • ecard.ru
  • Christmas Kort!
  • Christmas Vykort!
  • Christmas Postkort!
  • Christmas postikorti!
  • Christmas - Kartki!
  • Weihnachten card.
  • Prettige Kerstdagen!
  • Christmas pohlednice
  • Joyeux Noel!
  • Buon Natale!
• Mensaje: Uno de los siguientes:
  • Happy HollyDays!
    :) [Remitente]
  • Kellemes Unnepeket!
    :) [Remitente]
  • Feliz Navidad!
    :) [Remitente]
  • :) [Remitente]
  • Glaedelig Jul!
    :) [Remitente]
  • God Jul!
    :) [Remitente]
  • God Jul!
    :) [Remitente]
  • Iloista Joulua!
    :) [Remitente]
  • Naulieji Metai!
    :) [Remitente]
  • Wesolych Swiat!
    :) [Remitente]
  • Fröhliche Weihnachten!
    :) [Remitente]
  • Prettige Kerstdagen!
    :) [Remitente]
  • Veselé Vánoce!
    :) [Remitente]
  • Joyeux Noel!
    :) [Remitente]
  • Buon Natale!
    :) [Remitente]
• Adjunto: de nombre variable, pero suele contener la palabra "postal" en el idioma del resto del mensaje y doble extensión, siendo la última .bat, .cmd, .com, .pif, .zip

El gusano elije el idioma correspondiente a los dominios:

.hu .sp .ru .dk .ro .se .no .fi .lt .pl .pt .de .nl .cz .fr .it .mx .at .es

y evita enviarse a direcciones que contengan las siguientes cadenas:

yaho google win use info help admi ebm micro msn hotm suppor syman viru trend secur panda cafee sopho kasper.

El aspecto de los mensajes es tal que el siguiente:

Imagen de McAfee

Difusión por redes de intercambio de ficheros.

Zafi.D se copia en todos los directorios del equipo infectado cuyos nombres contengan las cadenas:

• share
• upolad
• music

con los nombres:

• winamp 5.7 new!.exe
• ICQ 2005a new!.exe

Enlaces Asociados:

• http://www.vsantivirus.com/zafi-d.htm (VS Antivirus)
• http://www.enciclopediavirus.com/virus/vervirus.php?id=1537 (Enciclopedia Virus)

Arriba

Contramedidas