Spamta.WF
PeligrosidadDañoPropagación

Efectos 

Spamta.WF envía el troyano detectado como SpamtaLoad.DW a través del correo electrónico en un mensaje con las siguientes características:

• Asunto: uno de los siguientes:
  Error
  Good day
  hello
  Mail Delivery System
  Mail server report.
  Mail Transaction Failed
  picture
  Status
  Test
• Contenido: puede ser uno de los siguientes:
  Mensaje 1
  Mail server report.
  
  Our firewall determined the e-mails containing worm copies are being sent from your computer.
  
  Nowadays it happens from many computers, because this is a new virus type (Network Worms).
  
  Using the new bug in the Windows, these viruses infect the computer unnoticeably.
  After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail
  addresses
  
  Please install updates for worm elimination and your computer restoring.
  
  Best regards,
  Customers support service
  
  Mensaje 2
  Mail transaction failed. Partial message is available.
  
  Mensaje 3
  The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
  
  Mensaje 4
  The message contains Unicode characters and has been sent as a binary attachment.
• Archivo adjunto: está formado por un archivo de doble extensión:
  BODY
  DATA
  DOC
  DOCS
  DOCUMENT
  FILE
  MESSAGE
  README
  TEST
  TEXT
  siendo la primera una de las siguientes:
  DAT
  ELM
  LOG
  MSG
  TXT
  y la segunda una de las siguientes:
  BAT
  CMD
  EXE
  PIF
  SCR
• Estos archivos corresponden a Trj/SpamtaLoad.DW.

Metodo de Infección 

Spamta.WF crea los siguientes archivos:

• HPSYS32.EXE, en el directorio de Windows. Este archivo es una copia del gusano.
• E1.DLL, en el directorio de sistema de Windows.

Spamta.WF crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
  hpsys = %windir%\hpsys32.exe s
  donde %windir% es el directorio de Windows.
  Mediante esta entrada, Spamta.WF consigue ejecutarse siempre que Windows se inicia.
• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Windows
  AppInit_DLLs = e1.dll
  Mediante esta entrada, Spamta.WF hace que el archivo DLL (Librería de Enlace Dinámico) indicado en ella (E1.DLL) sea cargado por cada aplicación Windows que sea ejecutada en la sesión actual.

Método de Propagación 

Spamta.WF llega al ordenador descargado por el troyano detectado como SpamtaLoad.DW.

Otros Detalles  

Spamta.WF está escrito en lenguaje de programación Visual C++ v7. Este gusano tiene un tamaño de 20419 Bytes.