Nombre: Win32.Netsky.S@mm
Alias: Win32/Netsky.S@mm (RAV), I-Worm.NetSky.t (KAV), W32/Netsky.S.worm (Panda)
Tipo: Ejecutable Gusano Mensajero Masivo
Tamaño: 18432 (empaquetado y encriptado)
Descubierto: 05.04.2004
Detectado: 05.04.2004
Propagación: Alta
Peligrosidad: Media
In The Wild: Sí

Síntomas:
La presencia de EasyAV.exe en la carpeta %SystemRoot% (Ej. C:\Windows) y en el listado de procesos.

La presencia de uinmzertinmds.opm en la carpeta %SystemRoot% (Ej. C:\Windows), conteniendo caracteres ascii que representan una codificación base65 del gusano.

La presencia de "EasyAV" en la clave "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" apuntando a "%SystemRoot%\EasyAV.exe".

Descripción técnica:
El virus está escrito en C++, compilado con VC6, empaquetado y encriptado.

Cuando se ejecuta por primera vez, crea un objeto mutex llamado Protect_USUkUyUnUeUtU_Mutex para evitar la reinfección del sistema. También crea un segundo mutex llamado SyncMutex_USUkUyUnUeUtU, que será usado por otra copia del gusano para mantenerse activa si alguien intenta eliminar el virus.

Luego se copia a sí mismo en %SystemRoot%\EasyAV.exe y crea un fichero llamado uinmzertinmds.opm en el cual guarda una copia suya codificada base64. El segundo fichero será utilizado ulteriormente para enviar e-mails tras adjuntarlo como datos adjuntos al mensaje electrónico.

La mayor parte de las series de caracteres utilizadas por el virus están encriptadas utilizando una tabla de translación para caracteres A-Z y a-z.

Busca direcciones de correo en las unidades de C: a Z: pero omitiendo unidades DVD/CD-ROM, y sólo hasta 32485 (0x7ee5) direcciones.

Verifica si las direcciones de correo son válidas en algunos servidores hardcoded mediante Mail eXchange. También se asegura que no contienen ciertos caracteres.

El asunto y el cuerpo del mensaje son aleatorios o compilados de un largo listado de series de caracteres hardcoded.

A partir del 7 de abril del 2004, el virus reenvia mensajes a las direcciones encontradas, ignorando que dichos mensajes han sido enviados anteriormente; entre 14-16 de abril del 2004 el virus cesa su propagación y luego vuelve a enviarse.

Desinfección:
Manual:
* abra Administrador de tareas pulsando [CTR]+[ALT]+[DEL] o [CTRL]+[SHIFT]+[ESCAPE] para Win2000/XP
* use Terminar proceso en Procesos en todos los EasyAV.exe
* abra Editor del Registro pulsando [WIN]+[R]regedit[ENTER]
* elimine la clave HKLM\Software\Microsoft\Windows\CurrentVersion\Run\easyAV
* elimine %SystemRoot%\EasyAV.exe y %SystemRoot%\uinmzertinmds.opm