Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:Worm/Pushbot.NR.1
La date de la dcouverte:13/10/2009
Type:Ver
En circulation:Oui
Infections signales Faible
Potentiel de distribution:Faible a moyen
Potentiel de destruction:Moyen
Fichier statique:Oui
Taille du fichier:75.776 Octets
Somme de contrle MD5:bcae72a511b2c005dbd46b96345f2bc2
Version IVDF:7.01.06.104 - mardi 13 octobre 2009

 Gnral Mthode de propagation:
    Autorun feature (fr)
    Programme de messagerie
   • Peer to Peer


Les alias:
   •  Panda: W32/MSNWorm.HI
   •  Eset: Win32/AutoRun.IRCBot.CX
   •  Bitdefender: Trojan.Generic.2522251


Plateformes / Systmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il tlcharge des fichiers malveillants
   • Il cre des fichiers malveillants
   • Il modifie des registres
   • Il facilite l'accs non autoris l'ordinateur
Can be used to lower security settings (fr)

 Fichiers Il s'autocopie dans les emplacements suivants:
   • %WINDIR%\livemessenger.com
   • \RECYCLER\%CLSID%\usb.exe



Les fichiers suivants sont crs:

\RECYCLER\%CLSID%\Desktop.ini
\autorun.inf Ceci est un fichier texte non malveillant avec le contenu suivant:
   •




Il essaie de tlcharger des fichiers:

L'emplacement est le suivant:
   • http://browseusers.myspace.com/Browse/**********


L'emplacement est le suivant:
   • http://www.messengermsnimages.net/yah/**********

 Registre On ajoute une valeur chaque cl de registre afin de lancer les processus aprs le redmarrage:

  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Microsoft Update"="livemessenger.com"

  [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\
   Install\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Microsoft Update"="livemessenger.com"



Il cre l'entre suivante afin de passer par le Firewall de Windows XP:

[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%le fichier excut%"="%le fichier
      excut%
:*:Enabled:Microsoft Update"

 P2P Il cherche les rpertoires suivants:
   • %PROGRAM FILES%\winmx\shared\
   • %PROGRAM FILES%\tesla\files\
   • %PROGRAM FILES%\limewire\shared\
   • %PROGRAM FILES%\morpheus\my shared folder\
   • %PROGRAM FILES%\emule\incoming\
   • %PROGRAM FILES%\edonkey2000\incoming\
   • %PROGRAM FILES%\bearshare\shared\
   • %PROGRAM FILES%\grokster\my grokster\
   • %PROGRAM FILES%\icq\shared folder\
   • %PROGRAM FILES%\kazaa lite k++\my shared folder\
   • %PROGRAM FILES%\kazaa lite\my shared folder\
   • %PROGRAM FILES%\kazaa\my shared folder\

   En cas de succs, les fichiers suivants sont crs:
   • DivX 5.0 Pro KeyGen.exe; Counter-Strike KeyGen.exe; IP Nuker.exe;
      Website Hacker.exe; Keylogger.exe; AOL Password Cracker.exe; ICQ
      Hacker.exe; AOL Instant Messenger (AIM) Hacker.exe; MSN Password
      Cracker.exe; Microsoft Visual Studio KeyGen.exe; Microsoft Visual
      Basic KeyGen.exe; Microsoft Visual C++ KeyGen.exe; Sub7 2.3
      Private.exe; sdbot with NetBIOS Spread.exe; L0pht 4.0 Windows Password
      Cracker.exe; Windows Password Cracker.exe; NetBIOS Cracker.exe;
      NetBIOS Hacker.exe; DCOM Exploit.exe; Norton Anti-Virus 2005
      Enterprise Crack.exe; Hotmail Cracker.exe; Hotmail Hacker.exe; Brutus
      FTP Cracker.exe; FTP Cracker.exe; Password Cracker.exe; Half-Life 2
      Downloader.exe; UT 2003 KeyGen.exe; Windows 2003 Advanced Server
      KeyGen.exe


 Programme de messagerie Il se rpand par l'intermdiaire du programme de messagerie. Les caractristiques sont dcrites ci-dessous:

 AIM Messenger
 MSN Messenger
 Yahoo Messenger


Message

   • Schauen Sie dieses Bild an %le fichier excut%
     Look at this picture %le fichier excut%
     mire este retrato %le fichier excut%
     regarder cette image %le fichier excut%
     guardare quest'immagine %le fichier excut%
     Seen this? :D %le fichier excut%

Le URL se rapporte alors une copie du malware dcrit. Si l'utilisateur tlcharge et excute ce fichier le procd d'infection commencera encore.

 IRC Afin de fournir des informations sur le systme et un accs distance, il se connecte au serveur IRC suivant:

Serveur: update.xx**********.com
Canal: #!m!
Pseudonyme: [USA|XP|%nombre%]

 Dtails de fichier Logiciel de compression des fichiers excutables:
Afin d'entraver la dtection et de rduire la taille du fichier il est compress avec un logiciel de compression des excutables.

Description insérée par Petre Galan le jeudi 11 mars 2010
Description mise à jour par Petre Galan le lundi 15 mars 2010

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.