Alias

Email-Worm.Win32.NetSky.t (Kaspersky Lab) También conocido como: I-Worm.NetSky.t (Kaspersky Lab), W32/Netsky.t@MM (NAI),   W32.Netsky.T@mm (NAV),   Win32.HLLM.Netsky.based (DrWeb),   W32/Netsky-T (Sophos),   Win32/Netsky.T@mm (RAV),   WORM_NETSKY.T (PCCIL),   Worm/NetSky.#1 (H+BEDV),   W32/Netsky.T@mm (FPROT),   Win32:Netsky-T (AVAST),   I-Worm/Netsky.T (AVG),   Win32.NetSky.T@mm (BitDef7),   Worm.SomeFool.Gen-2 (Clamav),   W32/Netsky.T.worm (Panda),   Win32/Netsky.T (Nod32)

Descripción agregada	30 jun 2006
Comportamiento	I-Worm

Detalles técnicos

Este gusano se propaga a través de Internet como un archivo adjunto a los mensajes de correos electrónicos infectados.

El gusano en sí es un archivo PE EXE de Windows de aproximadamente 18KB, empaquetado usando UPX y escrito en Microsoft Visual C++.

Mensajes infectados

Asunto del mensaje (elegido al azar de la lista de abajo)

Approved
Hello
Hi
Important
My details
Re: Approved
Re: Hello
Re: Hi
Re: Important
Re: My details
Re: Request
Re: Thanks you!
Re: Your details
Re: Your document
Re: Your information
Request
Thank you!
Your details
Your document
Your information

Cuerpo del mensaje (elegido al azar de los textos de abajo)

Approved, here is the document.
For more details see the attached document.
For more information see the attached document.
Hello!
Here is the "...".
Here is the document.
Hi!
I have found the "...".
I have sent the "...".
I have spent much time for the "...".
I have spent much time for your document.
My "..." is attached.
My "...".
Note that I have attached your document.
Please have a look at the "...".
Please have a look at the attached document.
Please notice the attached "...".
Please notice the attached document.
Please read quickly.
Please read the "...".
Please read the attached document.
Please see the "...".
Please, "...".
See the document for details.
Thank you
Thanks
The "..." is attached.
The "...".
The requested "..." is attached!
Your "..." is attached.
Your "...".
Your file is attached to this mail.
Yours sincerely

El gusano inserta entre comillas, palabras al azar de la siguiente lista.

abuse list
account
answer
approved document
approved file
archive
bill
concept
contact list
corrected document
description
detailed document
details
developement
diggest
document
e-mail
excel document
file
final version
homepage
icq number
important document
improved document
improved file
info
information
instructions
letter
list
mail
message
movie document
new document
note
notice
number list
old document
order
personal message
phone number
photo document
picture document
postcard
powerpoint document
presentation document
release
report
requested document
sample
secound document
story
summary
text
textfile
user list
word document

Archivo Adjunto

Un archivo de extensión .pif y un nombre generado al azar.

El gusano se activa cuando el usuario abre el archivo adjunto.

Una vez ejecutado, el gusano se instala en el sistema y empieza a propagarse.

Instalación

Al instalarse, el gusano se copia al directorio de Windows bajo el nombre EastAV.exe y registra este archivo en los códigos de registro de autoejecución del sistema:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
 "EastAV"="%windir%\EastAV.exe"

Correo masivo

El gusano busca archivos con las extensiones listadas debajo:

adb
asp
cfg
cgi
dbx
dhtm
doc
eml
htm
html
jsp
mbx

mdx
mht
mmf
msg
nch
ods
oft
php
pl
ppt
rtf
sht

shtm
stm
tbb
txt
uin
vbs
wab
wsh
xls
xml

recolecta direcciones de correo electrónico y envía copias de sí mismo a las direcciones encontradas.

El gusano usa su propia biblioteca SMTP para enviar mensajes.

Otros

El gusano intentará dirigir ataques DoS en los siguientes sitios, de acuerdo con el reloj del sistema de la configuración local.

www.cracks.am
www.emule.de
www.freemule.net
www.kazaa.com
www.keygen.us