Besoin d’aide ? Fais appel à la communauté ou embauche un spécialiste.
Aller à Avira Answers
Nom:Worm/Kolab.fhi.3
La date de la découverte:09/12/2009
Type:Ver
En circulation:Oui
Infections signalées Faible
Potentiel de distribution:Faible a moyen
Potentiel de destruction:Faible a moyen
Fichier statique:Oui
Taille du fichier:196.096 Octets
Somme de contrôle MD5:d93c0dea37ebfacb9d475085b712fad0
Version IVDF:7.10.01.206 - mercredi 9 décembre 2009

 Général Méthode de propagation:
   • Email


Les alias:
   •  Panda: W32/Kolabc.AW.worm
   •  Eset: Win32/Delf.OXF
   •  Bitdefender: IRC-Worm.Generic.8682


Plateformes / Systèmes d'exploitation:
   • Windows 2000
   • Windows XP
   • Windows 2003


Effets secondaires:
   • Il télécharge un fichier malveillant
   • Il crée des fichiers malveillants
   • Il modifie des registres

 Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\msvmcls64.exe




Il essaie de télécharger des fichiers:

– L'emplacement est le suivant:
   • http://93.174.95.145/spm/**********?id=%nombre%&tick=%nombre%&ver=486&smtp=


– L'emplacement est le suivant:
   • http://93.174.95.145/spm/**********?task=%nombre%&id=%nombre%

 Registre On ajoute une des valeurs suivantes afin de lancer le processus après le redémarrage:

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "MS Virtual CLS"="%SYSDIR%\msvmcls64.exe"



La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\BITS]
   • "host"="93.174.95.145"
   • "id"="23318476078427455795981961071089"
   • "ii"="1"

 Email Il contient un moteur SMTP intégré pour envoyer des emails. Une connexion directe avec le serveur destination sera établie. Les caractéristiques sont décrites ci-dessous:


De:
Adresses générées. Ne pas supposer pas que c'était l'intention de l'expéditeur de vous envoyer cet email. Il est possible qu'il ne sache pas qu'il est infecté ou il est possible qu'il ne soit pas du tout infecté. En outre, il est possible que vous receviez des emails en retour vous signifiant que vous êtes infecté. Ceci pourrait également ne pas être le cas.


A:
– Les adresses email trouvés dans des fichiers spécifiques du système.


Corps:
– Il contient du code HTML


Pièce jointe:

L'attachement est une copie du malware lui-même.

 Envoie de messages Serveur MX:
Il a la capacité de contacter un des serveurs MX suivants:
   • hotmail.com
   • yahoo.com
   • aol.com
   • google.com
   • mail.com

 Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Description insérée par Petre Galan le mercredi 31 mars 2010
Description mise à jour par Petre Galan le mercredi 31 mars 2010

Retour . . . .
https:// Cet écran est crypté pour votre sécurité.