Worm/Bobic.Crypt - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Bobic.Crypt
La date de la découverte:	14/09/2005
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Faible
Fichier statique:	Oui
Taille du fichier:	42.887 Octets
Somme de contrôle MD5:	1219697f35ba9ad7d33fa21dd18050f0
Version du moteur de scan:	6.32.0.5

Général Méthodes de propagation:
   • Email

Les alias:
   • Bitdefender: Win32.Worm.Bobic.M

Plateformes / Systèmes d'exploitation:
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Il bloque l'accès aux certains sites web
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %TEMPDIR%\%chaîne de caractères aléatoire%

Il essaie de télécharger des fichiers:

– L'emplacement est le suivant:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– L'emplacement est le suivant:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– L'emplacement est le suivant:
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– L'emplacement est le suivant:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– L'emplacement est le suivant:
   • **********.hn.org/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– L'emplacement est le suivant:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– L'emplacement est le suivant:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

Registre La clé de registre suivante est changée:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   L'ancienne valeur:
   • "Start"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "Start"=dword:00000004

Email Il contient un moteur SMTP intégré pour envoyer des emails SPAM. Une connexion directe avec le serveur destination sera établie. Les caractéristiques sont décrites ci-dessous:

De:
L'adresse de l'expéditeur est falsifiée.
Adresses recueillies sur Internet. Ne pas supposer pas que c'était l'intention de l'expéditeur de vous envoyer cet email. Il se pourrait qu'il ignore être infecté comme il pourrait ne pas l'être du tout. En outre il est possible que vous receviez des emails en retour vous signifiant que vous êtes infecté. Ceci pourrait également ne pas être le cas.

A:
– Adresses recueillies de l'Internet.

Sujet:
Un des suivants:
   • $320,000 for less than $600 a month!; $325,000 for less than $613 a
      month!; ...; After 30 years.; Antoinette!; Attack obesity; Aurelia!;
      Bill!; Bobby!; Brain?; Bridgett!; Burn body fat; Burn calories;
      Darryl!; Dena!; Emma!; Emmett!; Erich!; Feel full and satisfied all
      day long; Frances!; FW: FW: your private invitation %two-digit random
      character string%-%chaîne de caractères aléatoire%.; Fwd:
      Look your best during the summer months; Gary!; Get your personalized
      rate quote NOW!; Getting back to you.; Ginger!; Gracie!; Harley!;
      Haunted by your credit score?; Haunted by your past?; Hello.; Hey
      Alejandro!; Hey Amelia!; Hey Barbara!; Hey Barry!; Hey Betsy!; Hey
      Britney!; Hey Casandra!; Hey Charmaine!; Hey Clara!; Hey Clement!; Hey
      Colby!; Hey Dina!; Hey Dorothy!; Hey Flora!; Hey Genaro!; Hey Ivory!;
      Hey Jack!; Hey Jessica!; Hey Johnnie!; Hey Joshua!; Hey Justin!; Hey
      Kerri!; Hey Liza!; Hey Luella!; Hey Orville!; Hey Raphael!; Hey
      Reginald!; Hey Rosalie!; Hey Shawn!; Hey Sophie!; Hey Tamika!; Hey
      Tom!; Hey Winfred!; Hey!; Hey.; Hola!; How are you?; Imelda!; Increase
      your energy levels; Increase your metabolism; Invitation.; Jayson!;
      Joann!; Jonah!; Just reduce it.; Kelvin!; Lara!; Leonard!; Loretta!;
      Lose excess weight; Maintain your weight loss; Make losing weight a
      sure guarantee; Marcia!; Margo!; Maximum results seen after only a few
      weeks; Mortgage News Update.; No known side effects; Octavio!;
      Pauline!; Personalized mortgage rate quote!; Pre-approved Application
      %%four-digit random character string% |; Rate Quote for free!; Re:;
      re:%two-digit random character string%; Re: abbreviate.; Re: amarillo;
      Re: belie.; Re: blackball.; Re: burdock; Re: Burn.; Re: canvas; Re:
      carbonic; Re: chariot; Re: chimera.; Re: colatitude.; Re: command.;
      Re: comprehensible.; Re: confabulate; Re: congressmen.; Re: contain;
      Re: dale; Re: demur.; Re: dhabi.; Re: dieldrin.; Re: dime.; Re: ed.;
      Re: essex; Re: evaluable; Re: Favour.; Re: formulate.; Re: fusiform;
      Re: gland.; Re: global; Re: goatherd.; Re: goodwill; Re: harvey.; Re:
      haulage.; Re: hausdorff; Re: Hello.; Re: Help.; Re: herein; Re: Hey.;
      Re: hypoactive; Re: imp; Re: index.; Re: jeep.; Re: lithospheric.; Re:
      mac.; Re: marque.; Re: matchmake; Re: melinda; Re: minot.; Re: morton;
      Re: nepenthe; Re: network; Re: octogenarian; Re: parch.; Re: partake;
      Re: pinwheel; Re: plagioclase.; Re: procrustean; Re: pudding; Re:
      quetzal; Re: rancho; Re: ravine.; Re: redbud.; Re: regressive.; Re:
      relate.; Re: Request!; Re: roth.; Re: rowley.; Re: scientist; Re:
      shown.; Re: skunk.; Re: sloppy; Re: snappy.; Re: stephanotis; Re:
      strongroom.; Re: taxonomy; Re: teaspoonful.; Re: The miracle.; Re:
      thrift; Re: transposition; Re: tuberculin; Re: utter; Re: westminster;
      Re: Your order.; Request.; Response to your request.; Suitable for
      vegetarians and vegans; Summer!; Suppress your appetite; The miracle.;
      Truman!; Two hundred and thirty thousand dollars for only $320/month;
      Tyler!; Victoria!; Wilmer!; Your order:%four-digit random character
      string%.; Your order:%four-digit random character string%. You have
      been refunded.

Dans certains cas, le sujet pourrait également être vide.

Corps:
Le corps de l'email est le suivant:

   • We are happy to present you with six deals from four different brokers.
     Please remember that there is no commitment required on your part, and your credit is not an issue.
     Please validate your information with our secure and private database to ensure our records are up to date and accurate.
     http://**********rns.com/p1.asp
      Have a good day.
      Sincerely,
     %nom d'utilisateur de l'adresse email de l'expéditeur%
     Customer Service Rep.
     eKLID Inc.

Continué par ce qui suit:

   • %mots aléatoires%

L'email pourrait ressembler à un des suivants:

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées déjà existantes ne sont pas modifiées.

– L'accès au lien URL suivant est effectivement bloqué :
   • 255.255.255.255 ar.atwola.com atdmt.com avp.ch avp.com avp.ru
      awaps.net ca.com dispatch.mcafee.com download.mcafee.com
      download.microsoft.com downloads.microsoft.com engine.awaps.net
      f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com
      liveupdate.symantec.com mast.mcafee.com mcafee.com msdn.microsoft.com
      my-etrust.com nai.com networkassociates.com office.microsoft.com
      phx.corporate-ir.net secure.nai.com securityresponse.symantec.com
      service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com
      symantec.com update.symantec.com updates.symantec.com us.mcafee.com
      vil.nai.com viruslist.ru windowsupdate.microsoft.com www.avp.ch
      www.avp.com www.avp.ru www.awaps.net www.ca.com www.f-secure.com
      www.kaspersky.ru www.mcafee.com www.my-etrust.com www.nai.com
      www.networkassociates.com www.sophos.com www.symantec.com
      www.trendmicro.com www.viruslist.com www.viruslist.ru www3.ca.com

Le fichier hôte modifié ressemblera à ceci:

Porte dérobée En conséquence la possibilité de contrôle à distance est fournie.

L'injection du code viral dans d'autres processus – Il s'injecte dans un processus.

Nom du processus:
• %WINDIR%\Explorer.exe

Détails de fichier Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• Neolite

Voir la description brève ici.

Description inséré par Victor Tone sur Thu, 15 Sep 2005 17:17 (GMT+1)
Description mise à jour par Victor Tone sur Tue, 20 Sep 2005 14:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour