La reacción de los desarrolladores de soluciones de seguridad ante la aparición el pasado día 18 de septiembre de Nimda ha sido, en esta ocasión, generalizada y rápida. Tras conocer su nacimiento, los expertos se pusieron a trabajar rápidamente para encontrar el antídoto que eliminara este gusano de equipos, redes y sistemas infectados. Ésta podría haber sido la razón que ha llevado a una persona malintencionada a enviar un mensaje a una de las listas del site de seguridad SecurityFocus.com en el que prometía una herramienta para acabar con Nimda pero que, en realidad, contenía un troyano.

El creador, sin duda, pensó que muchos serían los que picarían si disfrazaba el virus como utilidad y, más aun, si el mensaje decía provenir del ARIS Analizer Service, un servicio que ofrecen de manera conjunta SecurityFocus.com y el fabricante de anti-virus Trend Micro. El archivo adjunto del e-mail es el ejecutable que presenta un nombre similar a la utilidad ofrecida por Trend Micro, FIX_NIMDA.EXE, pero que no es otra cosa que un troyano.

En cuanto los responsables del site fueron avisados de lo que estaba ocurriendo se pusieron en contacto con todos sus suscriptores y les alertaron sobre la falsedad del mensaje. Además, recordaban a sus usuarios que no abrieran éste ni ningún otro mensaje que pareciera provenir de ellos. Tras los primeros análisis del código maligno, todo parece indicar que es una variante de BioNet, un troyano que instala un receptor de pulsaciones de teclado, al mismo tiempo que abre una puerta trasera en el equipo que infecta. A continuación envía toda la información que consigue a una dirección de correo electrónico.

Por otro lado, sobre Nimda cabe destacar que el último site infectado y que puede contagiar el virus es el de la Universidad de Sevilla (España). En concreto, la página que contiene el código malicioso es la que recoge información sobre las II Jornadas de Nuevas Tecnologías Aplicadas a la Educación http://www.tecnologiaedu.us.es/nnttyeduc/. Si el usuario visitaba está página y no tenía instalado un anti-virus actualizado se infectaba automáticamente.