VBS/Timofónica se difunde vía email y activa los teléfonos vía GSM.

Se trata de una nueva versión de cartas encadenadas. Este gusano es similar al ya famoso LoveLetter que apareció a primeros de mayo DE 2000, pero a diferencia de éste, Timofónica se activa enviando un mensaje corto SMS a los últimos teléfonos GSM elegidos al azar.

El gusano se difunde vía email y tiene este aspecto:

De: nombre de un usuario infectado
A: nombre aleatorio de la agenda de direcciones
Asunto: TIMOFONICA

Es de todos ya conocido el monopolio de Telefónica pero no tan conocido los métodos que utilizó para llegar hasta este punto. En el documento adjunto existen opiniones, pruebas y direcciones web con más información que demuestran irregularidades en compras de materiales, facturas sin proveedores, stock irreal, etc. También habla de las extorsiones y favoritismos a empresarios tanto nacionales como internaciones. Explica también el por qué del fracaso en Holanda y qué hizo para adquirir el portal Lycons. En las direcciones web del documento existen temas relacionados para que echéis un vistazo a los comentarios, informes, y documentos, etc. Como comprendéis, esto es muy importante y os ruego que reenviéis este correo a vuestro amigos y conocidos.

Archivo adjunto: TIMOFONICA.TXT.vbs

Timofónica opera bajo el sistema operativo Windows y necesita Outlook para difundirse vía email.

Lo que hace que este gusano sea especial es que también envía mensajes a un gateway GSM de correo electrónico en España. El resultado final, el virus debería enviar este mensaje SMS a miles de números GSM al azar:

“informa que Telefónica te está engañando”

Se han recibido varios casos de infección, solo en España. Además, aparentemente el gateway SMS solo enviará los mensajes a teléfonos GSM en castellano, limitando el peligro a los hispanohablantes.

Cuando se abre el archivo TIMOFINICA.TXT.vbs, modifca el registro marcándolo para que no se ejecute más de una vez. También cambia los parámetros de Outlook 9.0 de modo que los emails enviados no se guarden en la bandeja de elementos enviados y así, el usuario no será consciente de lo que ha hecho.

Por otro lado, lanza "cmos.com" y modifica el registro para que se ejecute cuando se reinicie el sistema:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Cmos

CMOS.COM es un troyano. Al ejecutarse, primero borra la memoria CMOS y luego intenta leer MBRs de los primeros cuatro discos duros físicos. En el caso de que lo consiga, el troyano borra el MBR del disco duro que pueda y también los registros de arranque de DOS de todas las particiones del disco.

A continuación, se copia en C:\TIMOFONICA.TXT.vbs y crea un archivo con el siguiente texto:

Comentarios
=======
....
Tarifa plana de 6000. pts/mes
Extorsión

A principios de 1998, tras un seguimiento, se descubrieron numerosas irregularidades en su gestión, amparadas hasta el momento en el desconocimiento que nosotros teníamos sobre Internet.
Compras de materiales que nunca apareció en ningún lado, pero si las factura del proveedor.
...
Yo pienso que si Timofonica (ke a fin de kuentas es la dueña de Terra) kiere soltar dinero para un ONFG, no le hace falta hacer este tipo de acto solidario, es mas, me parece misero y ridikula la kantidad de un millon de pesetas...
Son unos ridikulos de mierda, un millon de pesetas para ellos no es nada, pero un millon de hits en sus paginas mas a final de mes supone una pekeña subidita en las acciones de Terra en Bolsa. Total, ke Terra no son las Hermanitas de los Pobres (pobres monas, kompararlas kon los chupasangres de Timofinca ) NI NOSOTROS SEMOS GILIPOLLAS¿¿¿
Podrán decir ke estamos obsesionados, ke tamos en kontra de timofonika, ke protestamos por vicio, PERO ES KE EN 3 AÑOS KE LLEVE EN INSTE SOLO LA HAN KAGADO UNA VEZ TRAS OTRA¡¡¡ SI ES KE SE LO GANAN A PULSO ¡!
lo dicho, todo lo ke güele a Telefonica SUX, o en castellano tradicional APESTA¡