GUSANO
Gigger
|
Los usuarios informáticos deben desconfiar de cualquier
e-mail que parezca incluir una actualización para el cliente
de correo Outlook Express de Microsoft. Este mensaje no es más
que el disfraz que utiliza el gusano Gigger para difundirse y
que apareció a comienzos del año 2002.
Escrito en código JavaScript, las compañías anti-virus lo han calificado de muy peligroso ya que posee rutinas destinadas a eliminar archivos almacenados en el equipo así como formatear el disco duro. Gigger puede llegar al equipo bajo dos aspectos distintos, según se haya enviado desde la agenda de direcciones de Outlook o bien, desde la de Windows: Asunto: Outlook Express Update ó Asunto: Outlook Express Update Independientemente del mensaje recibido, si el receptor ejecuta el adjunto, el gusano intentará descargar los siguientes archivos en el equipo: C:\BLA.HTA Gigger se difundirá a través de todas las unidades locales o de red, añadiendo el código del gusano a cada archivo con extensiones: HTM, HTML o ASP. Es más, si localiza archivos .INI o .HLP, creará también un SCRIPT.INI. Gigger se enviará a todas las direcciones que localice en la agenda de direcciones y, a la dirección del autor g_dv20\mail.bg, hará llegar un listado con todos los e-mails a los que se ha enviado. El gusano creará además las siguientes claves de registro: HKCU\Software\Microsoft\Windows Scripting Host\Settings\Timeout y añadirá el valor NAV DefAlert al registro: HKLM\Software\Microsoft\Windows\CurrentVersion\Run En caso de que falle cualquiera de sus rutinas, Gigger añadirá una línea en el archivo AUTOEXEC.BAT con el fin de formatear la unidad C: la próxima vez que se reinicie el equipo. Sin embargo, esta acción sólo tendrá lugar en versiones de Windows que utilicen el carácter "Y" en lugar de "Yes". Otra vía utilizada por Gigger para su difusión masiva son los canales IRC. En caso de encontrar archivos correspondientes a este programa, el gusano reemplazará el SCRIPT.INI por defecto por el suyo propio infectado con el fin de enviarse a cada usuario que comparta el mismo canal IRC que la víctima. Si el día del mes es 1, 5, 10, 15 o 20, el gusano reemplaza todos los archivos de todas las unidades con archivos de 0 bytes, destruyendo su contenido original. El código del gusano contiene el siguiente comentario: //29.10.2001, 10/29/01 This worm is donation from all Bulgarians!CopyR2001McB. (Este virus es donación de todos los búlgaros). Recordar que Microsoft nunca envía archivos a través de correo electrónico, siempre los distribuye a través de su página web. |
