Sobre un nuevo gusano llamado HTML/LittleDavinia

Nombre de virus: HTML/LittleDavinia

Alias conocidos: -

Riesgo Infección:Bajo   (Bajo, Alto, Muy Alto)

Activación: Ejecución código HTML en cuerpo de e-mail

Propagación: Envía mail a todas las direcciones Outlook

Detección: Desde DATS 4116

Motor necesario: Engine 4.1.20 o superior

Infección actual: Desconocida    (Inicial, Media, Elevada)
 

Una vez leída la descripción publicada por un antivirus nacional sobre
la existencia de un nuevo virus llamado HTML/LittleDavinia,
consideramos que se trata de un nuevo gusano con pocas posibilidades
de éxito debido a lo siguiente:

- En primer lugar, el gusano llega en un correo electrónico en formato
HTML, por lo que es indispensable que el programa cliente de correo sea
capaz de interpretar código HTML (y que esta opción esté activada).

- El código anterior intenta descargar de una página web un fichero
LD.DOC que abre automáticamente. Según noticias, la página web en cuestión
ya había sido cerrada el pasado sábado (aunque no se descarta que intente
descargar el fichero por otras vías).

- Parece ser que la macro que ejecuta dicho documento Word, sólo funciona
en MsWord2000, por lo que no sólo basta con tener MsWord instalado, sino
que además debe tratarse de la versión 9 (Office2000).

Todo y teniendo instalado Word2000, para que la macro pudiera ejecutarse
sin que Word alerte de la presencia de macros, el nivel de seguridad de
Macros (Herramientas | Macro | Seguridad) debería estar Bajo, lo cual es
poco probable.

- En caso que llegase a funcionar el código de macro anterior, este genera
un fichero littledavinia.vbs, el cual para ejecutarse requiere del Windows
Scripting Host (intérprete de Visual Basic Script), que si bien se instala
por defecto en Windows98, en Windows95 requiere haber instalado el navegador
Internet Explorer 5.

- Asimismo, para continuar su propagación, es preciso tener instalado el
cliente de correo Outlook, lo cual es un requisito añadido para permitir
la propagación del gusano.

- Evidentemente, no se descarta que en un futuro puedan surgir variantes
mejoradas de este virus, con más posibilidades de éxito (en cuyo caso
informaríamos adecuadamente), pero por todo lo mencionado anteriormente, y
al no haber recibido en fecha de hoy ninguna incidencia al respecto, (ni
nosotros ni ninguna de las otras empresas antivirus punteras) nuestra
impresión es que sencillamente se trata de una mera maniobra propagandística.
 
 

SATINFO, VIRUSCAN SPAIN SERVICE                        15-1-2001

Anterior