Tema: Sober.P. Envía mensajes en inglés o alemán

[Danae]

W32/Sober.P. Envía mensajes en inglés o alemán

Nombre: W32/Sober.P
Nombre NOD32: Win32/Sober.P
Tipo: Gusano de Internet
Alias: Sober.P, Email-Worm.Win32.Sober.q, Trj/Agent.TC, W32/Sober.corr, W32/Sober.q@MM, W32/Sober-Gen, W32/Sober-L, Win32.HLLM.Generic.345, Win32.Sober.Q@mm, Win32/Sober.P, Worm/Sober.gen
Plataforma: Windows 32-bit
Tamaño: 53,792 bytes (UPX)

Escrito en Microsoft Visual Basic, este gusano se propaga por correo electrónico, o es enviado en forma de spam.

Los mensajes tienen asuntos y textos en inglés o alemán.

Utiliza su propio motor SMTP, de modo que no depende del cliente utilizado por la víctima para enviarse.

El remitente siempre es falso, y es seleccionado al azar de la lista de direcciones a las que el gusano se envía.

El gusano envía los mensajes en alemán, cuando la dirección del destinatario tiene una de las siguientes extensiones:
.at
.ch
.de
.li
También los envía en alemán si existe la cadena GMX en el dominio (ej: gmx.com, gmx.de, gmx.net). En cualquier otro caso, los envía en inglés.

Mensajes en inglés:

De: [remitente falso]

Asunto:
Your Password & Account number
Texto del mensaje:
hi,
i've got an admin mail with a Password and Account info!
but the mail recipient are you! it's probably an esmtp
error, i think.
i've copied the full mail text in the Windows text-editor
& zipped.
ok, cya...
Datos adjuntos:
acc_text.zip
Mensaje en alemán:

De: [remitente falso]

Asunto:
Ich habe Ihre E-Mail bekommen!
Texto del mensaje:
Hallo,
jemand schickt ihre privaten Mails auf meinem Account.
Ich schaetze mal, das es ein Fehler vom Provider ist.
Insgesamt waren es jetzt schon 6 Mails!
Ich habe alle Mail-Texte im Texteditor kopiert und
gezippt.
Wenn es doch kein Fehler vom Provider ist, sorge dafuer
das diese Dinger nicht mehr auf meinem Account landen,
es Nervt naemlich.
Gruss
Datos adjuntos:
MailTexte.zip
En ambos casos, el archivo .ZIP contiene el ejecutable del gusano, con el siguiente nombre y doble extensión:
mail_text-data.txt                  .pif
El gusano solo se ejecuta cuando el usuario hace doble clic sobre el adjunto. Cuando ello sucede, puede abrir el bloc de notas para mostrar un texto que comienza con las siguientes líneas:
Mail-Text:
Unzip failed
Cuando se ejecuta, el gusano crea las carpetas SYSTEM y WIN32 dentro de \WINDOWS\MSAGENT, y copia los siguientes archivos:
c:\windows\msagent\system\smss.exe
c:\windows\msagent\win32\emdata.mmx
c:\windows\msagent\win32\zipzip.zab
Donde SMSS.EXE es una copia del propio gusano.

También crea los siguientes archivos dentro de la carpeta de Windows:
c:\windows\nonrunso.ber
c:\windows\read.me
c:\windows\stopruns.zhz
c:\windows\xcvfpokd.tqa
NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.).

Crea las siguientes entradas para auto ejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Services.dll = "c:\windows\msagent\system\smss.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
_Services.dll = "c:\windows\msagent\system\smss.exe"
El gusano utiliza su propio motor SMTP (Simple Mail Transfer Protocol), para enviarse en forma masiva.

Obtiene las direcciones de archivos con las siguientes extensiones:
.abc
.abd
.abx
.adb
.ade
.adp
.adr
.asp
.bak
.bas
.cfg
.cgi
.cls
.cms
.csv
.ctl
.dbx
.dhtm
.doc
.dsp
.dsw
.eml
.fdb
.frm
.hlp
.imb
.imh
.imh
.imm
.inbox
.ini
.jsp
.ldb
.ldif
.log
.mbx
.mda
.mdb
.mde
.mdw
.mdx
.mht
.mmf
.msg
.nab
.nch
.nfo
.nsf
.nws
.ods
.oft
.php
.phtm
.pl
.pmr
.pp
.ppt
.pst
.rtf
.shtml
.slk
.sln
.stm
.tbb
.txt
.uin
.vap
.vbs
.vcf
.wab
.wsh
.xhtml
.xls
.xml
Evita enviarse a direcciones cuyos nombres contengan algunas de las siguientes cadenas:
.dial.
.kundenserver.
.ppp.
.qmail@
.sul.t-
@arin
@avp
@ca.
@example.
@foo.
@from.
@gmetref
@iana
@ikarus.
@kaspers
@messagelab
@nai.
@panda
@smtp.
@sophos
@www
abuse
announce
antivir
anyone
anywhere
bellcore.
bitdefender
clock
-dav
detection
domain.
emsisoft
ewido.
freeav
free-av
ftp.
gold-certs
google
host.
icrosoft.
ipt.aol
law2
linux
mailer-daemon
mozilla
mustermann@
nlpmail01.
noreply
nothing
ntp-
ntp.
ntp@
office
password
postmas
reciver@
secure
service
smtp-
somebody
someone
spybot
sql.
subscribe
support
t-dialin
test@
time
t-ipconnect
user@
variabel
verizon.
viren
virus
whatever@
whoever@
winrar
winzip
you@
yourname
El gusano mantiene tres procesos activos en memoria para permanecer siempre residente. Si se elimina cualquiera de ellos, los demás crean un nuevo proceso.

El archivo C:\WINDOWS\READ.ME contiene el siguiente texto:
test test test
In diesem Sinne:
Odin alias Anon
El gusano intenta finalizar procesos activos que contengan las siguientes cadenas de texto en su nombre:
gcas
gcip
giantanti
stinger
hijackthis

Reparación antivirus
Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre todos los archivos detectados como infectados.

Borrado manual de los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\msagent\system\smss.exe
c:\windows\msagent\win32\emdata.mmx
c:\windows\msagent\win32\zipzip.zab
c:\windows\nonrunso.ber
c:\windows\read.me
c:\windows\stopruns.zhz
c:\windows\xcvfpokd.tqa
También borre las carpetas \SYSTEM y \WIN32 dentro de C:\WINDOWS\MSAGENT (no borre C:\WINDOWS\SYSTEM ni C:\WINDOWS\MSAGENT que son carpetas legítimas de Windows).
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Borre también los mensajes electrónicos similares a los descriptos antes.

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y borre la siguiente entrada:
_Services.dll
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y borre la siguiente entrada:
Services.dll
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/sober-p.htm

[destroyer]

Gracias Danae

Un saludo