Worm/Piggi.B - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Piggi.B
Descubierto:	06/03/2007
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	73.216 Bytes
Suma de control MD5:	021733db8aac0B2d7df515eed3507c05
Versión del VDF:	6.37.01.198
Versión del IVDF:	6.37.01.204

General Métodos de propagación:
   • Correo electrónico
   • Red local

Alias:
   • Kaspersky: Trojan-Dropper.Win32.Agent.baw
   • F-Secure: Trojan-Dropper.Win32.Agent.baw
   • Eset: Win32/Piggi.NAA

Plataformas / Sistemas operativos:
   • Windows NT
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Desactiva los programas de seguridad
   • Suelta ficheros dañinos
   • Contiene su propio motor para generar mensajes de correo
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
• %SYSDIR%\svchost.exe:svchost.exe
• %SYSDIR%\dllcahce\svchost.exe:svchost.exe

Sobrescribe los siguientes ficheros.
– %PROGRAM FILES%\Symantec\LiveUpdate\AUPDATE.EXE
– %PROGRAM FILES%\Symantec\LiveUpdate\LUALL.EXE
– %PROGRAM FILES%\McAfee.com\Agent\mcupdate.exe

Crea los siguientes ficheros:

– %SYSDIR%\msfsr.sys Los análisis adicionales indicaron que este fichero es también viral. Detectado como: TR/Drop.Agent.baw

– %SYSDIR%\drivers\%serie de caracteres aleatorios%.sys Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Piggi.A

Registro Las siguientes claves del registro se encuentran en un bucle infinito, añadido para ejecutar los procesos al reiniciar el sistema.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "SvcHost"="%SYSDIR%\svchost.exe:svchost.exe"
   • "reeipods"="%directorio donde se ejecuta el programa viral%"

Crea la siguiente entrada para evitar el cortafuego de Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%directorio donde se ejecuta el programa viral%\%ficheros
      ejecutados%"="%directorio donde se ejecuta el programa
      viral%\%ficheros
      ejecutados%:*:enabled:@xpsp2res.dll,-22019"

Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:

De:
La dirección del remitente es falsa.

Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.
– Direcciones de correo recolectadas de WAB (La libreta de direcciones de Windows - Windows Address Book)

Asunto:
El siguiente:
   • Your hidden site, Your hidden website, You site, Your site, Your
      website, Poker, Poker technique, Poker strategy, Online poker, Gaming,
      Online gaming, Online casino, Casino, Myspace, Myspace details, Your
      myspace details, Look at this!, Screensaver attached, Movie attached,
      Video attached, Free game downloader attached, Play this, Free game
      attached, Game attached, Listen to this!, Listen to the attachment,
      Your speech attached, Your voice attached, Your mix attached, Your
      tune attached, Your YouTube movie attached, Your YouTube video
      attached, Your movie attached, Your video attached, Free - just open
      the attachment!, Free gift, Free offer, Free - See the attachment!,
      Free!, You attached!, Your photo attached, Your picture attached, Look
      at the attachment, Open this attachment, See the attachment, An
      important message, yousite, yoursite, yourwebsite, Tekken, Indiana
      Jones 4, Hilary Duff, Carmen Electra, Jessica Alba, Jennifer Lopez,
      Jessica Simpson, Angelina Jolie, Britney Spears, Paris Hilton, Pamela
      Anderson, Dragonball, Terminator 4, Alien vs. Predator 2, Resident
      Evil 3, Rush Hour 3, Live Free or Die Hard, Spider-Man 3, Premonition,
      The Hills Have Eyes II, Ghost Rider, Heroes season 2, Smith season 2,
      Shark season 2, Jericho season 2, Studio 60 on the Sunset Strip season
      2, Six Degrees season 2, CSI: London, Grey's Anatomy - next season,
      Lost season 4, details, msg, message, document, attachment, letter,
      text, mail transcript, instructions, readme, poker, pokertechnique,
      pokerstrategy, onlinepoker, gaming, onlinegaming, onlinecasino,
      casino, myspace, myspacedetails, yourmyspacedetails, your tax returns,
      your financial information, your financial details, your bank account
      details, your SSN, etc, your personal information, your personal
      details, Dungeons & Dragons, Online: Stormreach Pursuit Force, Auto
      Assault, Metal Gear: Subsistence, Extreme Ghouls n' Ghosts, Full Auto,
      Starcraft: Ghost Huxley, Splinter Cell: Double Agent, Halo 3, Star
      Trek: Legacy, Rainbow Six: Vegas, Final Fantasy XIII, Resident Evil 5,
      Resistance: Fall of Man, Assassin’s Creed, Virtua Fighter 5, Full
      Auto 2: Battlelines, Killzone, PS3, Crysis Warhammer, Online, Age Of
      Reckoning, Command & Conquer 3: Tiberium Wars, Hellgate: London Prey,
      Unreal Tournament 2007, Ghost Recon: Advanced Warfighter, Spore,
      BioShock, Half-Life 2: Aftermath, Star Wars: Empire at War, Enemy
      Territory: Quake Wars, Neverwinter Nights 2

El cuerpo del mensaje:
El cuerpo del mensaje es uno de los siguientes:

   • Hi

     You gotta play this.

     The attached file will install the full game.

   • Hi
     You have to see it to believe it!
     --------------------------------------------------------------------------------
     Attachment: No Virus found.
     Scanned by Norton AntiVirus - symantec.com

   • Hi,
     We discovered this clip of you on a web site. You should hear it immediately.

   • Hi
     We discovered this movie of you on YouTube. You have to open it straight away.

   • Hi %nombre de usuario de la cuenta de correo%,
     You gotta play Resistance: Fall of Man (unreleased).
     The attached file will download the full game.
     This is completely free.

   • Hi %nombre de usuario de la cuenta de correo%,
     I found your personal details on the net.
     It looks like somebody has hijacked your computer and posted the attached file.
     You need to check the details in the attachment to see if they are genuine.

   • Hi
     I found this picture (attached) of you on the net. I think you should open it right now.

   • Hello %nombre de usuario de la cuenta de correo%,
     We saw this image (attached) of you on Flickr. You should open it immediately.

   • Hi %nombre de usuario de la cuenta de correo%,
     Somebody has broken into your MySpace account.
     You should verify the details in the attachment to see if they are real.

   • Hi
     I saw this image (attached) of you on somebody's blog. I think you should open it immediately.

   • Hi %nombre de usuario de la cuenta de correo%,
     I found a never seen before clip of Six Degrees season 2 (attached).
     You have to see it to believe it.

   • I heard this tape of you on somebody's blog. You have to listen to it right now.

   • Hi
     We saw this amazing free offer on the net.
     A brand new Creative Zen V Plus for free.
     Just open the attachment for details.

   • Hi %nombre de usuario de la cuenta de correo%,
     You might like to play Star Trek: Legacy (unreleased).
     The attached file will download the rest of the game.
     This is completely free.

   • Our records indicate that you have not updated your McAfee products recently.
     The attached file contains a cumulative rollup of security fixes necessary to help keep your computer safe.
     Please install it immediately by opening the attachment.
     McAfee Customer Support Team.
     McAfee.com

   • Hi
     Unbeatable Poker strategy.
     Just open the attachment for details.
     ________________________________

     ++ Attachment: No Virus found.
     ++ McAfee AntiVirus - mcafee.com
     ________________________________

   • Our records indicate that you have not updated your Microsoft products recently.
     The attached file contains a cumulative rollup of security fixes necessary to help keep your computer safe.
     Please install it immediately by opening the attachment.
     Microsoft Customer Support Team.
     Microsoft.com
     --------------------------------------------------------------------------------
     Attachment: No Virus found.

Archivo adjunto:
Los nombres de los ficheros adjuntos están compuestos de los siguientes elementos:

   • yourhiddensite
   • hiddensite
   • yousite
   • yoursite
   • yourwebsite
   • Tekken
   • Indiana Jones 4
   • Hilary Duff
   • Carmen Electra
   • Jessica Alba
   • Jennifer Lopez
   • Jessica Simpson
   • Angelina Jolie
   • Britney Spears
   • Paris Hilton
   • Pamela Anderson
   • Dragonball
   • Terminator 4
   • Alien vs. Predator 2
   • Resident Evil 3
   • Rush Hour 3
   • Live Free or Die Hard
   • Spider-Man 3
   • Premonition
   • The Hills Have Eyes II
   • Ghost Rider
   • Heroes season 2
   • Smith season 2
   • Shark season 2
   • Jericho season 2
   • Studio 60 on the Sunset Strip season 2
   • Six Degrees season 2
   • CSI: London
   • Grey's Anatomy - next season
   • Lost season 4
   • details
   • message
   • document
   • attachment
   • letter
   • transcript
   • instructions
   • readme
   • poker
   • pokertechnique
   • pokerstrategy
   • onlinepoker
   • gaming
   • onlinegaming
   • onlinecasino
   • casino
   • myspace
   • myspacedetails
   • yourmyspacedetails
   • your tax returns
   • your financial information
   • your financial details
   • your bank account details
   • your SSN etc
   • your personal information
   • your personal details
   • Dungeons & Dragons Online: Stormreach
   • Pursuit Force
   • Auto Assault
   • Metal Gear: Subsistence
   • Extreme Ghouls n' Ghosts
   • Full Auto
   • Starcraft: Ghost
   • Huxley
   • Splinter Cell: Double Agent
   • Halo 3
   • Star Trek: Legacy
   • Rainbow Six: Vegas
   • Final Fantasy XIII
   • Resident Evil 5
   • Resistance: Fall of Man
   • Assassin
   • s Creed
   • Virtua Fighter 5
   • Full Auto 2: Battlelines
   • Killzone PS3
   • Crysis
   • Warhammer Online Age Of Reckoning
   • Command & Conquer 3: Tiberium Wars
   • Hellgate: London
   • Unreal Tournament 2007
   • Ghost Recon: Advanced Warfighter
   • Spore
   • BioShock
   • Half-Life 2: Aftermath
   • Star Wars: Empire at War
   • Enemy Territory: Quake Wars
   • Neverwinter Nights 2
   • youtube-you

    A veces seguida por una de las siguientes extensiones falsas, además de espacios:
   • .wav
   • .wma
   • .mp3
   • .rtf
   • .html
   • .txt
   • .gif
   • .jpeg

    La extensión del fichero es una de las siguientes:
   • scr
   • pif
   • exe
   • bat
   • cmd
   • com

Algunos ejemplos de nombres de los ficheros adjuntos:
   • Rainbow Six_Vegas.exe
   • you.scr
   • Mc Afee update.exe
   • yousite.com
   • myspace.txt.pif

El archivo adjunto es una copia del propio programa malicioso.

El mensaje de correo puede tener una de las siguientes formas:

Envio de mensajes Busca direcciones:
Busca direcciones de correo en el siguiente fichero:
   • vbc, snm, smd, pst, pop, pmx, ply, nsf, na2, mmf, mlm, ldb, imc, imb,
      iaf, gup, gdb, gam, dvc, dld, clb, cdm, cat, pab, edb, btx, btr, brk,
      md, mb, bk, blt, adr, bib, bgt, bcn, bcm, bag, vcf, map, log, jav,
      nws, mht, wsh, vbs, uin, rtf, oft, js, eml, doc, dht, cgi, pdf, xsl,
      xml, sql, csv, tex, css, pl, adb, tbb, db, asp, php, sht, ht, txt

Infección en la red Exploit:
Emplea las siguientes brechas de seguridad:
– MS04-007 (ASN.1 Vulnerability)
–MS06-040 (Vulnerability in Server Service)

Creación de direcciones IP:
Crea direcciones IP aleatorias e intenta establecer una conexión con dichas IPs.

Finalización de los procesos Listado de los servicios desactivados:
   • sharedaccess
   • wscsvc
   • lanmanserver
   • Browser
   • SymAppCore
   • navapsvc
   • McShield

Informaciones diversas Conexión a Internet:
Para verificar la conexión a Internet, se conecta al siguiente servidor DNS:
• A.ROOT-SERVERS.NET

Para buscar una conexión a Internet, contacta el siguiente sitio web:
• www.mi5.gov.uk

Tecnología Rootkit Oculta las siguientes:
– Sus propios ficheros
– Sus propios procesos

Método empleado:
• Oculto en Windows API

Datos del fichero Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Ernest Szocs el Tue, 06 Mar 2007 13:59 (GMT+1)
Descripción actualizada por Ernest Szocs el Wed, 07 Mar 2007 13:00 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver