| El virus puede llegar en un mensaje de correo electrónico con las siguientes características:
Asunto: Internet problem year 2000
Cuerpo:
En español:
Estimado Cliente:
Rogamos actualizar y/o verificar su Sistema Operativo para el correcto funcionamiento de Internet a partir del Año 2000. Si Ud. es usuario de Windows 95 / 98 puede hacerlo mediante el Software provisto por Microsoft (C) llamado -Fix2001- que se encuentra adjunto en este E-Mail o bien puede ser descargado del sitio WEB de Microsoft (C) HTTP://WWW.MICROSOFT.COM
Si Ud. es usuario de otros Sistemas Operativos, por favor, no deje de consultar con sus respectivos soportes tecnicos.
Muchas Gracias.
Administrador.
En inglés:
Internet Customer:
We will be glad if you verify your Operative System(s) before Year 2000 to avoid problems with your Internet Connections. If you are a Windows 95 / 98 user, you can check your system using the Fix2001 application that is attached to this E-Mail or downloading it from Microsoft (C) WEB Site: HTTP://WWW.MICROSOFT.COM
If you are using another Operative System, please don"t wait until Year 2000, ask your OS Technical Support.
Thanks.
Administrator.
Archivo adjunto: Fix2001.exe
Al ejecutar el archivo el virus entra en acción y se copia con el mismo nombre al directorio C:\Windows\System y agrega el valor Fix2001 = "FIX2001.EXE" a la clave HKLM\Software\Microsoft\Windows\CurrentVersion\Run para ejecutarse en cada inicio de Windows.
Luego, muestra el mensaje Your Internet Connection is already Y2K, you don"t need to upgrade it..
En próximo inicio del sistema el virus se ejecutará gracias a la clave insertada anteriormente y enviará un mensaje como el antes descripto a las direcciones de correo electrónico que se envíen mensajes.
El virus crea un procedimiento llamado AMORE_TE_AMO por el cual es capaz de reenviarse sin que el usuario se de cuenta. Modifica el programa RNAAPP.EXE (Aplicación de Acceso Telefónico a Redes), y toma rutinas API"s del archivo RASAPI32.DLL, además de monitorear las API"s send y connect del WSOCK32.DLL.
Si ciertas cadenas son recibidas en algún mensaje, el virus activa su rutina dañina reemplazando el contenido del archivo COMMAND.COM por el de un troyano capaz de eliminar todo el contenido del disco duro. |
