El nuevo gusano Swen o Gibe, objeto de alerta grado cuatro ayer por el Centro de Alerta Antivirus (CAT), tiene como característica principal que simula ser una actualización de Microsoft enviada por correo electrónico.
Según informó ayer Hispasec, se trata del gusano con mayores índices de propagación en estos momentos. Entre otras vías de infección, destaca los mensajes que envía simulando proceder de un servicio de Microsoft, donde informa al usuario de que debe instalar el ejecutable que adjunta para proteger su sistema contra las últimas amenazas de seguridad.
Swen está desarrollado en Microsoft Visual C++, tiene un tamaño de 105KB, y afecta a los sistemas Windows. Usuarios, profesionales y entornos que utilicen otros sistemas operativos, como Linux o MacOS, están fuera de peligro. Lo primero que destaca de Swen -según Hispasec- es el cuidado formato del mensaje donde simula un envío de Microsoft, que sin duda está logrando engañar a muchos usuarios. Desde las direcciones de remite, con nombres como MS Technical Assistance o Microsoft Internet Security Section, hasta el cuerpo del mensaje en formato HTML con el mismo aspecto que la página web de Microsoft, incluidos logotipos. El texto también aparece muy cuidado y bien formateado, con referencias a las versiones de Internet Explorer y Outlook Express que supuestamente el parche corrige, así como enlaces a direcciones reales de la web de Microsoft.
Es sin duda este aspecto del gusano lo que está logrando engañar a muchos usuarios -agrega esta entidad- que terminan instalando el ejecutable que adjunta al mensaje creyendo que se trata de un parche oficial de Microsoft, provocando en realidad la infección de sus sistemas. Desde Hispasec se reitera, como norma básica y general frente a los virus informáticos, que no se deben ejecutar los archivos adjuntos y, en el caso concreto de Microsoft, que nunca distribuye actualizaciones o parches por e-mail.
Swen también intenta explotar una vieja y conocida vulnerabilidad de Internet Explorer para lograr ejecutarse de forma automática sin necesidad de que el usuario abra el archivo de forma manual. Esta vulnerabilidad (iframe/mime), que data de marzo del 2001, es la misma que aprovechan gusanos como Klez, y se estima que la mayoría de los usuarios no son vulnerables a la misma. De forma que el «éxito» alcanzado por Swen debe achacarse más a los engaños que está provocando su forma de presentarse que a motivos puramente técnicos o de vulnerabilidades concretas. Por último, además de los mensajes en los que simula ser una actualización de Microsoft, Swen también se presenta de otras formas por e-mail. Por ejemplo, finge ser un mensaje rechazado por el servidor de correo.
Una vez que se ejecuta el gusano, Swen sigue con sus técnicas de engaño y simula la aplicación del parche. Despliega una ventana bajo el título Microsoft Internet UpdatePack, pregunta al usuario si desea continuar con la instalación, y a continuación muestra una barra de progresión y aparenta la actualización de diferentes componentes del sistema.
Swen también intenta desactivar todas las protecciones con las que cuente el sistema. Para ello contiene en su código un amplio listado de nombres de procesos que finalizará si encuentra en memoria, la mayoría correspondiente a antivirus, firewalls y otras utilidades de seguridad.
El creador de este gusano también ha querido llevar una estadística del número de sistemas que consigue infectar. Para ello Swen, la primera vez que se ejecuta en un sistema, envía una petición HTTP a un servidor web donde mantiene un contador de visitas.
