El informe de esta semana de PandaLabs incluye información sobre el adware SmartVirusEliminator y el gusano MSNWorm.GU

SmartVirusEliminator es un adware que se descarga mostrando la siguiente ventana (http://www.flickr.com/photos/panda_security/3884297056/) y una vez descargado e instalado abre una ventana similar a la de seguridad de Windows (http://www.flickr.com/photos/panda_security/3884297090/).  Su principal función es hacerse pasar por un antivirus legal e incluso realiza un escaneo del equipo para mostrar que el usuario está infectado mediante falsas alertas.

Para desinfectar nuestro equipo de las amenazas “detectadas” por este falso antivirus, deberemos adquirirlo, proporcionando nuestros datos bancarios, que es realmente el fin último de este ejemplar de malware.

Para ampliar información sobre los falsos antivirus, puede hacerlo en el Informe escrito por Luis Corrons y Sean-Paul Corell, investigadores de PandaLabs, llamado “El negocio de los falsos antivirus”, disponible en: http://www.pandasecurity.com/img/enc/El%20Negocio%20de%20los%20falsos%20antivirus.pdf

El gusano MSNWorm.GU utiliza el conocido programa de mensajería Messenger para propagarse. La función del gusano es infectar el sistema y propagarse silenciosamente, sin mostrar su presencia por lo que no tiene síntomas visibles. De cualquier forma podremos observar este característico icono (http://www.flickr.com/photos/panda_security/3883505065/).

Además, modifica el registro para asegurarse su presencia al inicio del sistema. Mantiene el proceso como residente en memoria. Hace una copia de si mismo en: C:\WINDOWS\system32\wupdate.exe

¿Cómo se propaga? En el transcurso de una conversación usando los sistemas de mensajería instantánea tipo Messenger, nos llega un mensaje de uno de nuestros contactos, lo que no nos hace sospechar, con un enlace para proceder a la descarga de un archivo. En el momento en el que pulsemos sobre ese enlace, el gusano se instalará en nuestro sistema dando comienzo al proceso de infección.

En primer lugar se conectara a un servidor para comprobar si existe una versión propia actualizada y realizar una descarga dentro del ordenador, si no es así, realizara una copia propia en el path del directorio del sistema. Esta copia, o la actualización, es a la que harán referencia en las trazas entradas del registro creadas por el propio malware. Entre las trazas entradas que crea está la de ser lanzado el gusano al inicio del sistema. Al mismo tiempo abrirá una conexión para comunicarse con su creador y poder ser controlado por éste, ya que el gusano tiene características bot.

Por ultimo el fichero se quedara residente esperando una nueva conexión de mensajería instantánea para poder propagarse (http://www.flickr.com/photos/panda_security/3883505127/)