Fortnight.E

Los efectos de Fortnight.E son:

• Modifica la autofirma de los mensajes de correo de Outlook. Por ello, todos los mensajes de correo que envíe el usuario del ordenador afectado, contendrán el código vírico.
• Copia en la carpeta Favoritos de Windows los siguientes accesos directos a páginas Web de contenido erótico:
  Nude Nurses.url
  Search You Trust.url
  Your Favorite Porn Links.url
• Agrega seis botones a la Barra de herramientas de Internet Explorer.
• Desactiva las opciones de seguridad de Internet Explorer.

Fortnight.E crea los siguientes ficheros:

• S.HTM. Este fichero se crea en el directorio de Windows. Posteriormente, el gusano lo añade a la autofirma de los mensajes del programa de correo Outlook. De este modo, el gusano consigue adjuntarse a todos los mensajes que se envíen a partir de ese momento.
• HOSTS, en el directorio de Windows. Este fichero está vacio. En el caso de que el ordenador afectado tenga instalado el sistema operativo Windows XP o 2000, Fortnight.E también crea una copia de este fichero en el directorio system32/drivers/etc.

Fortnight.E elimina el HOSTS original del sistema.

Fortnight.E modifica el Registro de Windows introduciendo las siguientes entradas:

• HKEY_CURRENT_USER\ Identities\ %current user id%\ Software\ Microsoft\ Outlook Express\ 5.0\ signatures "Default Signature" = 0
•  HKEY_CURRENT_USER\ Identities\ %current user id%\ Software\ Microsoft\ Outlook Express\ 5.0\ signatures\ 00000000 "file" = C:\ WINDOWS\ s.htm
•  HKEY_CURRENT_USER\ Identities\ %current user id%\ Software\ Microsoft\ Outlook Express\ 5.0\ signatures\ 00000000 "name" = Signature #1
• HKEY_CURRENT_USER\ Identities\ %current user id%\ Software\ Microsoft\ Outlook Express\ 5.0\ signatures\ 00000000 "text" =""
• HKEY_CURRENT_USER\ Identities\ %current user id%\ Software\ Microsoft\ Outlook Express\ 5.0\ signatures\ 00000000 "type" = 2
  Con ello consigue introducir la autofirma dentrode los mensajes.
• HKEY_CURRENT_USER\ Software\ Policies\ Microsoft\ Internet Explorer\ Control Panel "AdvancedTab"
• HKEY_CURRENT_USER\ Software\ Policies\ Microsoft\ Internet Explorer\ Control Panel "SecurityTab"
  Con ello desactiva las opciones de seguridad de Internet Explorer.

Para producir la infección, Fortnight.E sigue el siguiente proceso:

• Cuando un usuario abre o visualiza un correo infectado a través de la Vista previa, el enlace de la página web oculto en el mensaje se abre.
• Esta página web contiene código Javascript. Este código descarga y activa el applet de Java(llamado C.JAR) que contiene elcódigo del gusano.
• Fortnight.E utiliza la vulnerabilidad Exploit/ByteVerify de Internet Explorer para que el fichero se descargue en el ordenador sin pedir confirmación del usuario.
• El fichero C.JAR, se ejecuta, introduciendo así al gusano en el ordenador.

Fortnight.E se transmite a través del correo electrónico. Para hacerlo, sustituye la autofirma por un enlace a una página web infectada. Cuando un usuario abre un correo infectado, se abre la página web mencionada anteriormente y el código del gusano se ejecuta desde ésta.

Fortnight.E está escrito en el lenguaje de programación Java Script. El fichero que realiza la infección tiene un tamaño de 270 Bytes.