Nom:Worm/Autorun.abji
La date de la découverte:04/03/2009
Type:Ver
En circulation:Oui
Infections signalées Faible a moyen
Potentiel de distribution:Faible a moyen
Potentiel de destruction:Moyen
Fichier statique:Oui
Taille du fichier:544.768 Octets
Somme de contrôle MD5:68e636d10111fc2bfc8acb3391f3f3f8
Version IVDF:7.01.02.121 - mercredi 4 mars 2009

 Général Méthode de propagation:
   • Autorun feature (fr)
   • Le réseau local
   • Programme de messagerie


Les alias:
   •  Mcafee: W32/Sdbot.worm.gen
   •  Sophos: Mal/Generic-A
   •  Panda: Hacktool/Tcpz.A
   •  Eset: Win32/Boberog.K
   •  Bitdefender: Trojan.Generic.1678014


Plateformes / Systèmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il crée des fichiers malveillants
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

 Fichiers Il s'autocopie dans les emplacements suivants:
   • %SYSDIR%\wmibus.exe
   • \RECYCLER\%CLSID%\autorun.exe



Il supprime sa propre copie, exécutée initialement



Les fichiers suivants sont créés:

– \RECYCLER\%CLSID%\Desktop.ini
– \autorun.inf Ceci est un fichier texte non malveillant avec le contenu suivant:
   •

 Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SYSTEM\CurrentControlSet\Services\WMIBUS]
   • "Description"="Creates opticodes for WMI apps."
   • "DisplayName"="WMI Bus Database"
   • "ErrorControl"=dword:0x00000000
   • "FailureActions"=hex:0A,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,2E,00,73,00,01,00,00,00,B8,0B,00,00
   • "ImagePath"=""%SYSDIR%\wmibus.exe""
   • "ObjectName"="LocalSystem"
   • "Start"=dword:0x00000002
   • "Type"=dword:0x00000110



Les clés de registre suivantes sont changées:

– [HKLM\SYSTEM\CurrentControlSet\Control]
   La nouvelle valeur:
   • "WaitToKillServiceTimeout"="7000"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions]
   La nouvelle valeur:
   • "GON"="%le fichier exécuté%"

 Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– AIM Messenger
– MSN Messenger

Le URL se rapporte alors à une copie du malware décrit. Si l'utilisateur télécharge et exécute ce fichier le procédé d'infection commencera encore.

 Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.
Il se sert des vulnérabilités suivantes:
– MS04-007 (ASN.1 Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)
– MS06-040 (Vulnérabilité dans Service de Serveur)


La création des adresses IP:
Il crée des adresses IP aléatoires tandis qu'il garde le premier octet de son propre adresse. Ensuite il essaye d'établir une connexion avec les adresses créées.


Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

 IRC Afin de fournir des informations sur le système et d'accès à distance, il se connecte aux serveurs IRC suivants:

Serveur: schima.ch**********.info
Port: 8083
Canal: #sploit-s
Pseudonyme: [00|USA|XP|%nombre%]

Serveur: cornea.ch**********.info

Serveur: sin.nk**********.info

Serveur: descent.ne**********.info

Serveur: design.nk**********.info

Serveur: argv.ne**********.info

Serveur: mute.nk**********.info

Serveur: system.cit**********.info

Serveur: load.nk**********.info

Serveur: core.ci**********.info

 Porte dérobée Le port suivant est ouvert:
sur le port TCP 27198 afin de fournir un serveur HTTP

 Informations divers Anti debugging
Il vérifie si une des fichiers suivants est présent:
   • \\.\SICE
   • \\.\NTICE


 Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Petre Galan le jeudi 4 mars 2010
Description mise à jour par Petre Galan le jeudi 4 mars 2010

Retour . . . .