Nuevo Gusano utiliza mail a nombre del FBI y la CIA para diseminarse

Por: Karina Saavedra O.

Nombre: Sober Y
Alias: Email-Worm.Win32.Sober.y, W32/Sober.Y@mm, CME-681

Esta nueva variante Sober.Y fué encontrada en Noviembre 16 del 2005, sin embargo se disemino solo el 21 de Noviembre. Esta variante, Sober.Y es similar tanto a Sober.K como a sus últimas versiones que aparecieron a mediados de Noviembre. Pero es importante mencionar que este mail sigue difundiéndose por usuarios en Internet.

http://www.f-secure.com/v-descs/sober_k.shtml
http://www.f-secure.com/v-descs/sober_t.shtml

Como en variantes anteriores, se auto-envía adentro de un archivo ZIP como un anexo en mensajes de correo electrónico en Inglés o Alemán.

Descripción Detallada

Sober.Y esta escrito en Visual Basic. El archivo del gusano es un UPX de 55 kb. Una vez descompactado el gusano mide alrededor de 198 kb. En esta ocasión el autor del gusano cambio la cadena de texto usada para desencriptar las cadenas de datos en el cuerpo del gusano, pero no cambio el algoritmo de encriptación.

Instalación en el Sistema

Después de que es ejecutado por algún usuario, el gusano muestra un mensaje de error falso con el siguiente cuadro de texto:

Posteriormente crea una subcarpeta llamada 'WinSecurity' dentro de la carpeta de Windows y se autocopia 3 veces con los siguientes nombres:
services.exe
csrss.exe
smss.exe

Adicionalmente el gusano crea los siguientes archivos en la misma carpeta:
mssock1.dli
mssock2.dli
mssock3.dli
winmem1.ory
winmem2.ory
winmem3.ory
socket1.ifo
socket2.ifo
socket3.ifo

Los primeros 6 archivos se utilizan para guardar direcciones de correo que se van obteniendo, y los 3 últimos archivos se utilizan para guardar el cuerpo del gusano.

El gusano también agrega las siguientes llaves de inicio dentro del registro de Windows
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
" Windows" = "%WinDir%\WinSecurity\services.exe"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"_Windows" = "%WinDir%\WinSecurity\services.exe"

Sober.Y crea algunos archivos vacíos en la carpeta de Windows System con los siguientes nombres.
nonrunso.ber
langeinf.lin
runstop.rst
rubezahl.rub
bbvmwxxf.hml
filesms.fms

Estos archivos se utilizan para desactivar variantes anteriores de Sober. El gusano bloquea el acceso a estos archivos y vuelve a crear las llaves de inicio del registro si estas han sido borradas.

Diseminación en Correos Electrónicos

El gusano Sober.Y envía mensajes en Inglés y alemán con su archivo adjunto en donde se encuentra el ejecutable del mismo.

Para obtener las direcciones de correo, el gusano rastrea archivos con las siguientes extensiones:
pmr phtm stm slk inbox imb csv bak imh xhtml imm imh cms
nws vcf ctl dhtm cgi pp ppt msg jsp oft vbs uin ldb abc
pst cfg mdw mbx mdx mda adp nab fdb vap dsp ade sln dsw
mde frm bas adr cls ini ldif log mdb xml wsh tbb abx
abd adb pl rtf mmf doc ods nch xls nsf txt wab eml hlp
mht nfo php asp shtml dbx

Las direcciones de correo se guardan en los archivos "mssock*.dli" y "winmem*.ory" que han sido creadas en la misma carpeta donde se localiza el ejecutable principal del gusano.

Sober.Y ignora direcciones de correo si contienen alguna de las siguientes cadenas de texto:
ntp- ntp@ ntp. test@ @www @from. support smtp- @smtp.
gold-certs ftp. .dial. .ppp. anyone subscribe announce
@gmetref sql. someone nothing you@ user@ reciver@ somebody
secure whatever@ whoever@ anywhere yourname mustermann@
.kundenserver. mailer-daemon variabel noreply -dav law2
.sul.t- .qmail@ t-ipconnect t-dialin ipt.aol time freeav
@ca. abuse winrar domain. host. viren bitdefender spybot
detection ewido. emsisoft linux google @foo. winzip
@example. bellcore. @arin mozilla iana@ iana- @iana @avp
icrosoft. @sophos @panda @kaspers free-av antivir virus
verizon. @ikarus. @nai. @messagelab nlpmail01. clock

Cuando el gusano envía un correo que contiene el dominio "gmx" o tiene el sufijo de ".de", ".li", ".ch" o ".at", compone los mensajes en Alemán, de no ser así los manda en Inglés.

Los mensajes se envían como si el remitente fuera la CIA o el FBI, así en el campo De:, es posible encontrar cualquiera de los siguientes:
Department@fbi.gov
(also can be Office@, Admin@, Mail@, Post@)
Department@cia.gov
(also can be Office@, Admin@, Mail@, Post@)

El Asunto puede ser cualquiera de los que se encuentran a continuación:
You visit illegal websites
Your IP was logged

Y finalmente el cuerpo del mensaje es:
Dear Sir/Madam,
we have logged your IP-address on more than 30 illegal Websites.
Important:
Please answer our questions!
The list of questions are attached.
Yours faithfully,
Steven Allison
*** Federal Bureau of Investigation -FBI-
*** 935 Pennsylvania Avenue, NW, Room 3220
*** Washington, DC 20535
*** phone: (202) 324-3000

Si el gusano utiliza la dirección @cia.gov, entonces el mensaje termina así:
++++ Central Intelligence Agency -CIA-
++++ Office of Public Affairs
++++ Washington, D.C. 20505
++++ phone: (703) 482-0623
++++ 7:00 a.m. to 5:00 p.m., US Eastern time

Los nombres de los anexos pueden ser:
question_list.zip
list.zip

Los mensajes en Alemán son similares, solo que el remitente es BKA, pudiendo ser:
Downloads@bka.bund.de
(also can be BKA@, Internet@, Post@, Anzeige@, BKA.Bund@)

El asunto puede contener cualquiera de estos:
Ermittlungsverfahren wurde eingeleitet
Sie besitzen Raubkopien

El texto del cuerpo del mensaje puede ser:
Sehr geehrte Dame, sehr geehrter Herr,
das Herunterladen von Filmen, Software und MP3s ist illegal und
somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass
Ihr Rechner unter der IP erfasst wurde. Der Inhalt Ihres Rechner
wurde als Beweismittel sichergestellt und es wird ein
Ermittlungsverfahren gegen Sie eingleitet.
Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird
Ihnen in den naechsten Tagen schriftlich zugestellt.
Aktenzeichen NR.:# (siehe Anhang)
Hochachtungsvoll
i.A. Juergen Stock
--- Bundeskriminalamt BKA
--- Referat LS 2
--- 65173 Wiesbaden
--- Tel.: +49 (0)611 - 55 - 12331 oder
--- Tel.: +49 (0)611 - 55 - 0

El anexo:
Akte.zip

A continuación podemos ver un ejemplo de un mensaje enviado por este gusano:

El ejecutable del gusano se encuentra adentro de archivos ZIP anexado en todos los mensajes infectados. Para poder infectarse el usuario debe de tratar de abrir el archivo del gusano

Funcionalidad

Sober.Y worm termina las aplicaciones que tienen las siguientes cadenas de texto en sus nombres:
microsoftanti
gcas
gcip
giantanti
inetupd.
nod32kui
nod32.
fxsbr
avwin.
guardgui.
aswclnr
stinger
hijack
sober
brfix
s_t_i_n
s-t-i-n

Posteriormente el gusano muestra el siguiente cuadro de dialogo:

Este truco se hace para persuadir al usuario de que no tiene ninguna infección en su máquina o que no se ha detectado nada por su antivirus.

El gusano también puede bajar y ejecutar archivos en la computadora infectada.

Adicionalmente el gusano se pone en contacto con servidores de tiempo para sincronizar sus actividades.

Sober.Y es detectado con las definiciones de virus del 16/11/05 de F-Secure Antivirus.