Sinowal.WRN
PeligrosidadDañoPropagación

Efectos 

Sinowal.WRN realiza las siguientes acciones:

• Llega al ordenador en un mensaje de correo electrónico en inglés relacionado con el virus H1N1 (gripe porcina).
• El asunto del mensaje puede ser uno de los siguientes:
  Governmental registration program on the H1N1 vaccination
  State Vaccination H1N1 Program
  Your personal Vaccination Profile
  Create your personal Vaccination Profile
  State Vaccination Program
  Creation of personal Vaccination Profile
  Instructions on creation of your personal Vaccination Profile
• El contenido del mensaje trata sobre un programa de vacunación del virus H1N1 para el que se solicita al usuario que cree un perfil de vacunación personal en cierta página web. El mensaje incluye un enlace a dicha página web.
• El siguiente es un ejemplo del correo electrónico en el que llega Sinowal.WRN:
  
  
• Si el usuario pulsa sobre el enlace es redirigido a una página web como la siguiente, que contiene un mensaje en el que se solicita al usuario que se descargue un documento para poder crear su perfil de vacunación:
  
  
• Cuando este archivo es ejecutado, el ordenador queda infectado por Sinowal.WRN, que está diseñado para robar información confidencial del ordenador y del usuario afectado.
• La información que recopila es almacenada en unos archivos, que posteriormente son enviados a su creador.

Metodo de Infección 

Sinowal.WRN crea una copia de sí mismo con el nombre SDRA64.EXE, en el directorio de sistema de Windows.

Además, crea los siguientes archivos, en los que almacena la información que ha obtenido:

• LOCAL.DS y USER.DS, en la carpeta lowsec, creada por él mismo, en el directorio de sistema de Windows.
• 8.TMP y 9.TMP, en la carpeta Temp del directorio de Windows.

Sinowal.WRN modifica la siguiente entrada del Registro de Windows:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon
  Userinit = %sysdir%\userinit.exe,
  donde %sysdir% es el directorio de sistema de Windows.
  Cambia esta entrada por:
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon
  Userinit = %sysdir%\userinit.exe,%sysdir%\sdra64.exe,
  Mediante esta modificación, Sinowal.WRN consigue ejecutarse cada vez que Windows se inicia.

Método de Propagación 

Sinowal.WRN no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación. Los medios empleados son variados, e incluyen, entre otros, disquetes, CD-ROMs, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, transferencia de archivos a través de FTP, canales IRC, redes de intercambio de archivos punto a punto (P2P), etc.

Otros Detalles  

Sinowal.WRN tiene un tamaño de 130048 Bytes.