Worm/Zafi.E - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Zafi.E
La date de la découverte:	26/09/2005
Type:	Ver
En circulation:	Oui
Infections signalées	Faible a moyen
Potentiel de distribution:	Moyen à élevé
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	15.367 Octets
Somme de contrôle MD5:	0DA379936D9B8EE36EE77CBC3B9C74B7
Version VDF:	6.32.0.41

Général Méthodes de propagation:
   • Email
   • Peer to Peer

Les alias:
   • Kaspersky: Email-Worm.Win32.Zafi.e
   • TrendMicro: WORM_ZAFI.E
   • Bitdefender: Win32.Zafi.E@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il emploie son propre moteur de courrier électronique
   • Il diminue les réglages de sécurité
   • Il modifie des registres

Immédiatement après l'exécution l'information suivante est affichée:

Fichiers Il s'autocopie dans les emplacements suivants:
   • %SYSDIR%\Symantec_Update-%plusieurs nombres aléatoires de 0 à 9%.exe
   • %SYSDIR%\%plusieurs nombres aléatoires de 0 à 9%Z.dll

Il supprime sa propre copie, exécutée initialement

Les fichiers suivants sont créés:

– Un fichier qui contient des adresses d'e-mail collectées:
   • %SYSDIR%\%plusieurs nombres aléatoires de 0 à 9%Z.dll

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "__ZF5"="%SYSDIR%\Symantec_Update-%plusieurs nombres aléatoires de 0 à 9%.exe"

La clé de registre suivante est ajoutée:

– [HKLM\SOFTWARE\Microsoft\__ZF5]
   • "%chaîne de caractères aléatoire de deux digits%"=dword:00000100
   • "%chaîne de caractères aléatoire de deux digits%"=""
   • "%chaîne de caractères aléatoire de deux digits%"="%le nom d'utilisateur du compte d'email% "
   • "%chaîne de caractères aléatoire de deux digits%"="%SYSDIR%\%plusieurs nombres aléatoires de 0 à 9%Z.dll"
   • "%chaîne de caractères aléatoire de deux digits%"="%exécutable Windows aléatoire%"

Email Il contient un moteur SMTP intégré pour envoyer des emails. Une connexion directe avec le serveur destination sera établie. Les caractéristiques sont décrites ci-dessous:
La langue dans laquelle l'email est envoyé dépend du Top-Level-Domain.

De:
L'adresse de l'expéditeur est falsifiée.

A:
– Les adresses email trouvés dans des fichiers spécifiques du système.

Sujet:
Un des suivants:
   • Star Wars Greeting
   • MSN Postcard
   • Greeting from neptun.ru
   • MSN.RU Postcard
   • Una Star Wars cartolina per te da regione.it
   • Cartolina Digitale
   • Une Star Wars carte pour vous
   • Confidental
   • e-udvozlet
   • megasztar
   • e-pohlednice
   • Elektronickou Star Wars
   • e-postkarte
   • Star Wars
   • Electronisch Star Wars
   • E-kaartje
   • Has recibido una tarjeta en neptun.mx
   • e-tarjeta
   • Star Wars
   • e-kort

Corps:
– Il contient du code HTML
Le corps de l'email est un des suivants:

   • STAR WARS

Continué par un des suivants:

   • Hi there

     There's a star wars postcard waiting for you, from %le nom d'utilisateur du compte d'email%.
     Just click the link below to pick up your personal message:
     %le nom de l'attachement sans l'extension%.jpg

     (If you cannot view the image by clicking on the link, copy and paste
     the attachment picture into your browser).

     Best regards: http://www.jedinet.com

   • Здравствуйте,

     Вам пришла открытка!
     Вы можете получить ее по адресу
     %le nom de l'attachement sans l'extension%.jpg

     Код для получения открытки 10025412 Открытка может быть получена любым графическим браузером в течение 1 месяца с момента получения этого сообщения.

   • Ciao

     %le nom d'utilisateur du compte d'email% ti ha inviato una cartolina digitale dal nostro sito.
     Per visualizzare la cartolina è sufficiente cliccare questo link:
     %le nom de l'attachement sans l'extension%.jpg

     Nel caso dovessi avere problemi nel visualizzare la tua cartolina, può
     essere che i giorni a disposizione siano scaduti, è comunque possibile
     fare una prova a questo indirizzo: www.regione.it

   • Bonjour

     %le nom d'utilisateur du compte d'email% a crée une 'star wars' carte specialement pour vous, et vous l'a envoyée le %la date courante%.
     La carte sera sauvgardée pendant 10 jours. Veuillez la recupérer dans les 10 jours avant qu'elle expire.
     Cliquer sur ce lien pour voir votre e-carte:
     %le nom de l'attachement sans l'extension%.jpg

     Alternativement vous pouvez lui envoyer une autre carte gratuitement sur www.smartweb.fr

   • Kedves Felhasználó

     %le nom d'utilisateur du compte d'email% elektronikus üdvözlõlapot küldött Önnek!
     Megtekintéséhez kattintson a mellékelt kép hivatkozására, vagy másolja be
     a böngészõ (Internet Explorer, Netscape Navigator, Mozilla, stb.) címsorába!
     %le nom de l'attachement sans l'extension%.jpg

     A már kézbesített lapokat 3 hétig õrizzük meg!
     http://www.tv2.hu

   • Dobrý den

     Dostáváte tento email, protoe Vám %le nom d'utilisateur du compte d'email%,
     poslal(a) elektronickou `star wars` pohlednici. Vae pohlednice je uloena na
     serveru centrum.cz a mùete si ji vyzvednout na adrese:
     %le nom de l'attachement sans l'extension%.jpg

     Tuto pohlednici budeme archivovat po dobu 30-ti dnù. Doufáme, e se Vám
     bude líbit. :-)

     Nejvetsi vyber plakatu na http://www.centrum.cz

   • Hallo

     %le nom d'utilisateur du compte d'email% hat Ihnen eine Star Wars Postkarte geschickt!
     Ihre Postkarte wurde am %date% versendet und ist für 10 Tage gespeichert.
     Sie können Sie unter folgender URL ansehen:
     %le nom de l'attachement sans l'extension%.jpg

     Mit freundlichen Grüßen,

     Free eCards - Grusskarte senden - send a free eCard
     Powered by http://www.deutschepost.de

   • Hallo

     Je hebt een electronisch kaartje ontvangen van %le nom d'utilisateur du compte d'email%
     Je kunt je persoonlijke kaartje bekijken door naar het
     volgende internet adreste gaan:
     %le nom de l'attachement sans l'extension%.jpg

     We hebben vele 100-en kaartjes in allerlei categoriën.
     Natuurlijk kan ook jij een kaartje sturen, ga naar
     http://www.fonztv.nl

   • ¡Hola

     Hay una tarjeta disponible en Neptun.mx de parte de %le nom d'utilisateur du compte d'email%.
     Para verla, hacer click en el siguiente enlace:
     %le nom de l'attachement sans l'extension%.jpg

     Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
     en todo momento durante la vigencia de tu membresía; si no lo eres,
     estará disponible dos semanas a partir de la fecha en que la envíes.

   • Hello

     %le nom d'utilisateur du compte d'email% har send eit kort til deg.
     Du kan henta kortet ditt på
     %le nom de l'attachement sans l'extension%.jpg

     og skriva inn kortnummer 214 og passord 5016.

Continué par ce qui suit:

   • ImageSize: 15Kb V
     Virus & Spam Scan: V

Pièce jointe:
Le nom de fichier de l'attachement est construit de ce qui suit:

– Il commence avec un des suivants:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort
   • dscn
   • post

Continué par un des suivants:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort

   • show%chaîne de caractères aléatoire de quatre digits%
   • index%chaîne de caractères aléatoire de quatre digits%
   • imag%chaîne de caractères aléatoire de quatre digits%
   • wars%chaîne de caractères aléatoire de quatre digits%
   • pict%chaîne de caractères aléatoire de quatre digits%
   • dscn%chaîne de caractères aléatoire de quatre digits%
   • post%chaîne de caractères aléatoire de quatre digits%

    L'extension du fichier est une des suivantes:
   • .zip

Voici quelques exemples de la manière dont le nom du fichier de la pièce jointe pourrait ressembler:
   • lnk.cart.index1650.zip
   • galerij.show.wars3765.zip
   • pict.index.post4325.zip
   • lnk.grusskarte.pict8074.zip

L'attachement est une copie du malware lui-même.

L'email pourrait ressembler à un des suivants:

Envoie de messages Recherche des adresses:
Il cherche les fichiers suivants pour des adresses email:
   • .htm; .wab; .txt; .dbx; .tbb; .asp; .php; .sht; .adb; .mbx; .eml;
      .pmr; .fpt; .inb

Éviter les adresses:
Il n'envoie pas des emails aux adresses contenant une des chaînes de caractères suivantes:
   • google; sale; service; info; help; admi; webm; micro; msn; hotm;
      suppor; soft.; zonela

Ajoutez les chaînes de caractères au début de MX :
Afin d'obtenir l'adresse IP du serveur d'email, il a la capacité d'ajouter au début du nom de domaine les chaînes de caractères suivantes:
   • mail.; smtp.; mx.; fmx.; matav-1.; gold.; matav-2.; domser.; suli2.;
      matav-4.; gemini.; goliat2.; webmail.; postman.; huasmtp01.;
      mailin02.sul.; mail4u.; Mmx-ha01.web.; Mmx2.mail.; smtp-in.;
      Mmail.wxs.; box-05.; mail-mx-00.; smtp01.; smtp03.; pop.; Mmx.is.;
      debian-mx1.; mrelay1-2.; smtpB1.; maury.; newken.; blackhole.; Mmail.;
      mail-mx-3.; mxrm.; mbox.; pweb.; mail-kr3.; mail-kr4.; mailserver.;
      mx-a.mail.; mailin-01.mx.; mxs.; office.; cscmail.; Mrelay2.

P2P Afin d'infecter d'autres systèmes d'exploitation dans la communauté en réseau peer-to-peer, l'action suivante est entreprise:   Il cherche les répertoires qui contient une des sous chaîne de caractères suivantes:
   • "share"
   • "upload"
   • "music"
   • "startup"

   En cas de succès, les fichiers suivants sont créés:
   • Adobe Acrobat 8.0.exe
   • Divx Player 7.0.exe

Arrêt de processus: La liste des processus qui sont terminés:
   • nmain.exe; Luall.exe; nod32.exe; gcasDtServ.exe; nod32krn.exe;
      nod32kui.exe; AVLTMAIN.EXE; MRT.exe; gcasServ.exe; avginet.exe;
      inetupd.exe; fpavupdm.exe; Updater.exe; pcclient.exe; F-StopW.exe;
      drwebupw.exe; QH32.EXE; QHM32.EXE; LIVEUP.exe; savmain.exe;
      savprogess.exe; nod32.exe; bdmcon.exe; bdlite.exe; McUpdate.exe;
      mcmnhdlr.exe; VBInstTmp.exe; vbcmserv.exe; vbcons.exe; fspex.exe

Informations divers Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
• microsoft.com

Mutex:
Il crée le Mutex suivant:
• __ZF5

Détails de fichier Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Andrei Gherman sur Mon, 26 Sep 2005 14:56 (GMT+1)
Description mise à jour par Andrei Ivanes sur Mon, 26 Sep 2005 17:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back