|
W32/Knon@mm, I-worm.knon@mm
Knon es un gusano destructivo reportado el 15 de Marzo del 2003, de propagación masiva, en mensajes de correo con un archivo anexado de nombre ICQ-Upgrade.exe, que simula contener una actualización del software de mensajería instantánea ICQ y con el nombre del destinatario personalizado. Infecta además vía el IRC (Internet Chat Relay).
Borra archivos de extensiones, incluyendo .EXE y .COM por lo cual deja inoperativos a los sistemas que infecta.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000
Está desarrollado en Visual Basic 6.0, con una extensión de 12.5 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface) se auto-envía a todos los buzones de correo de la Libreta de Direcciones de MS Outlook.
Al ejecutar el archivo anexado, el gusano busca los siguientes archivos y si ellos se encuentran instalados en el sistema, procede a sobre-escribirlos con su código:
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Para ejecutarse la próxima vez que se inicie el sistema el gusano crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
*inet = "%System%\Msinet32.exe"
Luego cambia los siguientes valores en la llave de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
RegisteredOwner = unknown
RegisteredOrganization = unknown
ProductName = UNKNOWN-<<<moWorm>>>
Al activarse el gusano se auto-copia a las siguientes rutas con los nombres:
Para infectar a través del IRC
(Internet Chat Relay)
el gusano busca la presencia del software mIRC
en el sistema y si lo encuentra modifica el Script.ini
en la ruta C:\mIRC\Script.ini, que le
permitirá infectar a todos los usuarios que se conecten a una misma sesión
de Chat.
Luego el gusano inicia un proceso infinito (loop) de auto-copia en los
archivos de las siguientes rutas:
Este proceso deshabilita los sistemas que tiene poca memoria RAM.
Inmediatamente después procede a borra los archivos con estas extensiones:
Para finalmente sobre-escribir con su código viral los archivos con las siguientes extensiones:
Con lo cual dejará inoperativo al sistema.
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 7.9 y 8.0 con registro de virus al 15 de Marzo del 2003 detecta y elimina eficientemente este gusano.
