Llega al ordenador afectado en un mensaje de correo escrito en inglés de características variables.
Netsky.P usa uno de dos posibles métodos, cada uno de los cuales tiene diferentes opciones:
Remitente:
Independientemente del método utilizado,
Netsky.P falsifica la dirección que aparece como remitente del mensaje de correo que provoca la infección. Esto puede dar lugar a confusiones. Si desea más información al respecto, pulse
aquí.
Método A:Asunto:
Opción 1: el gusano selecciona uno de los siguientes elementos fijos:
Re: Administration
Re: Bad Request
Re: Delivery Protection
Re: Delivery Server
Re: Encrypted Mail
Re: Error
Re: Extended Mail
Re: Extended Mail System
Re: Failure
Re: Mail Authentification
Re: Mail Server
Re: Message Error
Re: Notify
Re: Protected Mail Delivery
Re: Protected Mail Request
Re: Protected Mail System
Re: Secure delivery
Re: Secure SMTP Message
Re: SMTP Server
Re: Status
Re: Test
Re: Thank you for deliveryOpción 2: el asunto está compuesto de palabras de alguna o todas las listas siguientes:
Lista 1: Re:,
Re: Re:Lista 2: approved,
important,
my,
yourLista 3: application,
approved,
bill,
corrected,
data,
details,
document,
document_all,
excel document,
file,
hello,
here,
hi,
important,
improved,
information,
letter,
message,
patched,
product,
read it immediately,
screensaver,
text,
thanks!,
website,
word documentPor ejemplo:
approved,
Re: my details,
Re: Re: important excel document,
your information, etc.
Contenido:
Authentication required.
I have attached your document.
I have received your document. The corrected document is attached.
Please confirm the document.
Please read the attached file!
Please read the document.
Please read the important document.
Please see the attached file for details.
Requested file.
See the file.
You have received an extended message. Please read the instructions.
Your details.
Your document is attached to this mail.
Your document is attached.
Your document is attached.
Your document.
Your file is attached.Adicionalmente, el mensaje puede incluir alguno de los siguientes textos:
+++ Attachment: No Virus found
+++ MessageLabs AntiVirus - www.messagelabs.com
+++ Attachment: No Virus found
+++ Bitdefender AntiVirus - www.bitdefender.com
+++ Attachment: No Virus found
+++ MC-Afee AntiVirus - www.mcafee.com
+++ Attachment: No Virus found
+++ Kaspersky AntiVirus - www.kaspersky.com
+++ Attachment: No Virus found
+++ Panda AntiVirus - www.pandasoftware.com
++++ Attachment: No Virus found
++++ Norman AntiVirus - www.norman.com
++++ Attachment: No Virus found
++++ F-Secure AntiVirus - www.f-secure.com
++++ Attachment: No Virus found
++++ Norton AntiVirus - www.symantec.de
Adjunto: uno de los siguientes:
message
msg
details
data
document
readmeLa extensión de estos archivos puede ser
EXE,
SCR o
PIF. En algunos casos, existe una segunda extensión que puede ser
DOC o
TXT. En estos casos hay varios caracteres en blanco insertados entre ambas extensiones.
Método B:
Consiste en treinta casos posibles, cada uno de los cuales tiene diferentes opciones.
El fichero adjunto es variable, y puede tener extensión única o doble extensión (en este caso, inserta varios caracteres en blanco entre ambas). Además, el fichero adjunto puede estar comprimido en formato ZIP.
Caso 1:
Asunto: uno de los siguientes:
Protected Mail System
Mail Authentication
Contenido: uno de los siguientes:
Encrypted message is available.
Protected message is attached.
Fichero adjunto: emplea uno de los siguientes nombres:
DOCUMENT, ENCRYPTED_MSG01, MESSAGE, MSG, PGP_SESS01
Caso 2:
Asunto: uno de los siguientes:
Re: Approved document
Re: Your document
Contenido: uno de los siguientes:
Please read the attached file.
Your document is attached.
Fichero adjunto: emplea uno de los siguientes nombres:
ABOUT_YOU, ALL_DOC01, APPROVED, CORRECTED, DOCUMENT, DOCUMENT04, FILE, IMPROVED, MSG, YOUR_DOCUMENT.
Caso 3:
Asunto: uno de los siguientes:
Re: Is that your document?
Is that your password?
Contenido: uno de los siguientes:
Can you confirm it?
I have attached it to this mail.
Fichero adjunto: emplea uno de los siguientes nombres:
DOCUMENT, PWD02, DOCUMENT01, PART6, PRIVATE_01
Caso 4:
Asunto: uno de los siguientes:
Mail Delivery (failure)
Error
Contenido: uno de los siguientes:
Binary message is available.
Message has been sent as a binary attachment.
Fichero adjunto: emplea uno de los siguientes nombres:
DATA, EMAIL, LETTER, MESSAGE, MSG
Caso 5:
Asunto: uno de los siguientes:
Hello
Hi
Contenido: uno de los siguientes:
Try this game ;-)
I hope the patch works.
Fichero adjunto: emplea uno de los siguientes nombres:
APPLICATION, GAME, PATCH3425, SOFTWARE
Caso 6:
Asunto: uno de los siguientes:
Private document
Stolen document
Contenido: uno de los siguientes:
I found this document about you.
I cannot believe that.
Fichero adjunto: emplea uno de los siguientes nombres:
ABOUT_YOU, DOCUMENT342, YOUR_DOCUMENT
Caso 7:
Asunto: uno de los siguientes:
Re: Hi
Re: Its me
Contenido: uno de los siguientes:
I have attached your file. Your passwor is jkl44563.
The file is protected with the password ghj001.
Fichero adjunto: emplea uno de los siguientes nombres:
DATA20, DOCUMENT, DOCUMENT43, LETTER32, MAILS9, MY_DETAILS, PRIV, YOUR_DOC
Para ver información del resto de casos, pulse aquí.