Need help? Ask the community or hire an expert.
Go to Avira Answers
Nume:Worm/AutoIt.AF
Descoperit pe data de:16/07/2010
Tip:Vierme
ITW:Nu
Numar infectii raportate:Scazut spre mediu
Potential de raspandire:Scazut spre mediu
Potential de distrugere:Scazut spre mediu
Fisier static:Da
Marime:222.092 Bytes
MD5:d84a73bdde2ef478a5efd90af5c857e3
Versiune VDF:7.10.04.21
Versiune IVDF:7.10.09.108 - vineri, 16 iulie 2010

 General Metode de raspandire:
   • Functia autorun
   • Messenger


Alias:
   •  F-Secure: Gen:Trojan.Heur.nmMfrzSTdNgib
   •  Bitdefender: Gen:Trojan.Heur.nmMfrzSTdNgib
   •  GData: Gen:Trojan.Heur.nmMfrzSTdNgib
   •  DrWeb: Win32.HLLW.Texmer.51


Sistem de operare:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efecte secundare:
   • Creeaza fisiere malware
   • Modificari in registri

 Fisiere Se copiaza in urmatoarele locatii:
   • %WINDIR%\SSVICHOSST.exe
   • %unitate disc%\SSVICHOSST.exe
   • %SYSDIR%\SSVICHOSST.exe



Sunt create fisierele:

%SYSDIR%\autorun.ini
%unitate disc%\autorun.inf Acesta este un fisier text care nu prezinta pericol si are urmatorul continut:
   • %cod care ruleaza fisierul malitios%




Incearca sa execute urmatoarele fisiere:

– Numele fisierului:
   • %SYSDIR%\cmd.exe /C AT /delete /yes


– Numele fisierului:
   • %SYSDIR%\cmd.exe /C AT 09:00 /interactive /EVERY:m,t,w,th,f,s,su %SYSDIR%\SSVICHOSST.exe

 Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Yahoo Messengger"="%SYSDIR%\SSVICHOSST.exe"



Urmatoarele chei sunt adaugate in registrii sistemului:

– [HKLM\SYSTEM\CurrentControlSet\Services\Schedule]
   • "AtTaskMaxHours"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   WorkgroupCrawler\Shares]
   • "shared"="\New Folder.exe"

 Messenger Se raspandeste prin messenger. Caracteristicile sunt:

– Yahoo Messenger


Mesaj
Mesajul transmis arata ca unul din urmatoarele:

   • ang Web nay coi cung hay, vao coi thu di http://nhatquanglan1.0catch.com
     may, vao day coi co con nho nay ngon lam http://nhatquanglan1.0catch.com
     o day nghe bai nay di ban http://nhatquanglan1.0catch.com

 Alte informatii Acceseaza resurse de pe internet:
   • http://nhatquanglan3.t3**********.com
   • http://nhatquanglan4.t3**********.com

 Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Description inserted by Wensin Lee on Monday, April 16, 2012
Description updated by Wensin Lee on Monday, April 16, 2012

Back . . . .