Nuevo gusano que corre en teléfonos Celulares que utilizan Symbian

Por Karina Saavedra O

Resumen

Cabir es un gusano de bluethooth que corre en teléfonos que utilizan Symbian que soportan la plataforma Series 60. Este gusano se replica sobre las conexiones bluetooth y llega a la bandeja de entrada de mensajes del teléfono como un archivo llamado caribe.sis y cuando se instala el archivo SIS el gusano se activa y empieza a buscar por nuevos aditamentos que puedan ser infectados a través de bluetooth.

Este gusano solo puede infectar teléfonos móviles que soportan bluetooth, que tengan la opción de bluetooth activada con el modo descubrir activo. Una vez que el teléfono se ha infectado intentará infectar otros sistemas aun cuando el usuario trate de desactivar la opción de bluetooth de la configuración del sistema.

Que hace

Cuando el usuario de clic en el archivo caribe.sis en la bandeja de entrada del teléfono, desplegara el siguiente cuadro de dialogo de alerta.



Si el usuario de clic en yes (si) el teléfono preguntará por la instalación.



Si el usuario de clic en yes (si) el gusano Cabir se activará y mostrará un cuadro de diálogo que contiene el nombre que el autor del virus quiere dar al gusano, las iniciales del autor y un grupo de inicial 29A



Detalles

Cabir se replica sobre bluetooth en el archivo caribe.sis que contiene el ejecutable principal del gusano caribe.app, el de reconocimiento del sistema flo.mdl y el archive de recursos caribe.rsc. El archivo SIS contiene configuración de auto inicio que automáticamente ejecutara el archivo caribe.app después de que el archivo SIS ha sido instalado.

Cuando el archivo caribe.sis se instala se copia los ejecutables del gusano en las siguientes ubicaciones:

c:\system\apps\caribe\caribe.rsc
c:\system\apps\caribe\caribe.app
c:\system\apps\caribe\flo.mdl

Cuando el archivo caribe.app se ejecuta, copia los siguientes archivos:

flo.mdl a c:\system\recogs
caribe.app a c:\system\symbiansecuredata\caribesecuritymanager\
caribe.rsc a c:\system\symbiansecuredata\caribesecuritymanager\
Esto no sucede cuando la aplicación se instala en la tarjeta de memoria. Posteriormente y después de recrear el archivo caribe.sis el gusano comienza a buscar por todos los componentes visibles de bluetooth y envía el archivo SIS a estos.

Desinfección



F-Secure Anti-Virus para Symbian 60 series detecta y elimina los componentes del gusano. Después de borrar los archivos del gusano, puede borrar el directorio.

c:\system\symbiansecuredata\caribesecuritymanager\
o bien puede desinfectar el sistema de manera manual borrando los siguientes archivos:

c:\system\apps\caribe\caribe.rsc
c:\system\apps\caribe\caribe.app
c:\system\apps\caribe\flo.mdl
c:\system\recogs\flo.mdl
c:\system\symbiansecuredata\caribesecuritymanager\caribe.app
c:\system\symbiansecuredata\caribesecuritymanager\caribe.rsc

La detección de F-Secure para Symbian series 60 ya fue publicada por F-Secure el 15 de Junio del 2004.