Badtrans.B

Badtrans.B tiene los siguientes efectos:

• Obtiene y divulga datos confidenciales del usuario afectado.
• Responde a todos los mensajes no leídos que existen en el ordenador afectado, enviando mensajes en los que el gusano se incluye como archivo adjunto.

Badtrans.B crea los siguientes archivos en el directorio de sistema de Windows:

• KDLL.DLL. Este archivo es un troyano, destinado a recoger datos personales del usuario afectado.
• CP_25389.NLS y KERNEL32.EXE.

Badtrans.B crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunOnce
  Kernel32 = kernel32.exe
  Mediante esta entrada, Badtrans.B consigue ejecutarse cada vez que se inicia Windows.

Badtrans.B se propaga mediante el correo electrónico. Para ello, realiza el siguiente proceso:

• Llega al ordenador en un mensaje de correo electrónico que simula ser una respuesta a un mensaje enviado por el usuario, y tiene las siguientes características:
  
  Remitente:
  Badtrans.B es capaz de modificar la dirección del remitente añadiendo un guión bajo al principio de la misma. Esto provoca un error de dirección incorrecta al responder a dicho mensaje.
  
  Archivo adjunto: tiene un nombre variable, y doble extensión:
  Posibles nombres: FUN, HUMOR, DOCS, INFO, SORRY_ABOUT_YESTERDAY, CARD, SETUP, STUFF, YOU_ARE_FAT!, HAMSTER, NEW_NAPSTER_SITE, README, IMAGES, PICS.
  Posibles primeras extensiones: MP3, ZIP, DOC.
  Posibles segundas extensiones: PIF, SCR.
  Por ejemplo: HUMOR.DOC.PIF, CARD.ZIP.SCR, etc.
• Badtrans.B se activa automáticamente tan sólo con visualizar el mensaje a través de la Vista previa de Outlook. Para conseguirlo, aprovecha la vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5) que permite la ejecución automática de los ficheros de los mensajes de correo. Esta vulnerabilidad se llama Exploit Iframe.
• Badtrans.B envía una copia de sí mismo a todas las direcciones que:
  - Existen en la Bandeja de entrada del ordenador afectado.
  - Recoge en ficheros con extensiones ASP o que comiencen por HT.
  - Pertenecen a la siguiente lista:
  " Anna" <aizzo@home.com>
  "JUDY" <JUJUB271@AOL.COM>
  "Rita Tulliani" <powerpuff@videotron.ca>
  "Tina" <tina0828@yahoo.com>
  "Kelly Andersen" <Gravity49@aol.com>
  "Andy" <andy@hweb-media.com>
  "Linda" <lgonzal@hotmail.com>
  "Mon S" <spiderroll@hotmail.com>
  "Joanna" <joanna@mail.utexas.edu>
  "JESSICA BENAVIDES" <jessica@aol.com>
  "Administrator" <administrator@border.net>
  "Admin" <admin@gte.net>
  "Support" <support@cyberramp.net>
  "Monika Prado" <monika@telia.com>
  "Mary L. Adams" <mary@c-com.net>

Badtrans.B contiene el siguiente texto dentro de su código, aunque no es mostrado en ningún momento:
Fuck you!, Go fly a kite!