Worm/Sohanad.bm - Worm

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	Worm/Sohanad.bm
Descubierto:	19/11/2008
Tipo:	Gusano
En circulación (ITW):	No
Número de infecciones comunicadas:	Medio-bajo
Potencial de propagación:	Medio-alto
Potencial dañino:	Medio-bajo
Fichero estático:	Sí
Tamaño:	501.017 Bytes
Suma de control MD5:	eb4215326d739ef7393270fb48f6dbcb
Versión del IVDF:	7.01.00.110

General Métodos de propagación:
   • Red local
   • Messenger

Alias:
   • Kaspersky: IM-Worm.Win32.Sohanad.bm
   • F-Secure: IM-Worm.Win32.Sohanad.bm
   • Sophos: W32/SillyFDC-G
   • Panda: W32/Hakaglan.A.worm
   • Grisoft: I-Worm/Sohanad.J
   • Eset: Win32/Hakaglan.AH
   • Bitdefender: Trojan.AutoIt.TD

Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Descarga ficheros
   • Suelta un fichero
   • Reduce las opciones de seguridad
   • Modificaciones en el registro

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %SYSDIR%\RVHOST.exe
   • %WINDIR%\RVHOST.exe

Crea el siguiente fichero:

– %WINDIR%\Tasks\At1.job Tarea planificada que ejecuta el malware en tiempos predefinidos.

Intenta descargar un fichero:

– La dirección es la siguiente:
   • http://nhatquanglan2.0catch.com/**********
El fichero está guardado en el disco duro en: %SYSDIR%\setting.ini

Registro Añade las siguientes claves del registro para ejecutar los procesos al iniciar el sistema:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Yahoo Messengger="%SYSDIR%\RVHOST.exe"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • Shell="Explorer.exe RVHOST.exe"

Añade las siguientes claves al registro:

– [HKLM\SYSTEM\ControlSet001\Services\Schedule]
   • AtTaskMaxHours=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   WorkgroupCrawler\Shares]
   • shared="%todas las carpetas compartidas%\New Folder.exe"

Modifica las siguientes claves del registro:

Varias opciones de configuración en Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Valor anterior:
   • NofolderOptions=%configuración definida por el usuario%
   Nuevo valor:
   • NofolderOptions=dword:00000001

Desactivar Regedit y el Administrador de Tareas:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Valor anterior:
   • DisableTaskMgr=%configuración definida por el usuario%
   • DisableRegistryTools=%configuración definida por el usuario%
   Nuevo valor:
   • DisableTaskMgr=dword:00000001
   • DisableRegistryTools=dword:00000001

Messenger Se propaga por Messenger. Sus características están descritas a continuación:

– Yahoo Messenger

A:
Todas las entradas en la lista de contactos.

Mensaje
El mensaje enviado se ve como uno de los siguientes:

   • E may, vao day coi co con nho nay ngon lam http://nhattruongquang.**********.com

   • Vao day nghe bai nay di ban http://nhattruongquang.**********.com

   • Biet tin gi chua, vao day coi di http://nhattruongquang.**********.com

   • Trang Web nay coi cung hay, vao coi thu di http://nhattruongquang.**********.com

   • Toi di lang thang lan trong bong toi buot gia, ve dau khi da mat em roi? Ve dau khi bao nhieu mo mong gio da vo tan... Ve dau toi biet di ve dau? http://nhattruongquang.**********.com

   • Khoc cho nho thuong voi trong long, khoc cho noi sau nhe nhu khong. Bao nhieu yeu thuong nhung ngay qua da tan theo khoi may bay that xa... http://nhattruongquang.**********.com

   • Tha nguoi dung noi se yeu minh toi mai thoi thi gio day toi se vui hon. Gio nguoi lac loi buoc chan ve noi xa xoi, cay dang chi rieng minh toi... http://nhattruongquang.**********.com

   • Loi em noi cho tinh chung ta, nhu doan cuoi trong cuon phim buon. Nguoi da den nhu la giac mo roi ra di cho anh bat ngo... http://nhattruongquang.**********.com

   • Tra lai em niem vui khi duoc gan ben em, tra lai em loi yeu thuong em dem, tra lai em niem tin thang nam qua ta dap xay. Gio day chi la nhung ky niem buon...http://nhattruongquang.**********.com

El mensaje recibido puede tener la siguiente apariencia:

Infección en la red Para asegurar su propagación, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuación.

Suelta una copia suya en la siguiente carpeta compartida en la red:
• %todas las carpetas compartidas%\New Folder.exe

Para una breve descripción vea el resumen aquí.

Descripción insertada por Adriana Popa el Tue, 10 Feb 2009 15:39 (GMT+1)
Descripción actualizada por Adriana Popa el Wed, 11 Feb 2009 10:21 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver