Worm/Alcra.B - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Alcra.B
La date de la découverte:	28/06/2005
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	2.379.776 Octets
Somme de contrôle MD5:	b70A0Bd6e45135566a7aa9faa196e615
Version VDF:	6.31.00.118

Général Méthode de propagation:
   • Peer to Peer

Les alias:
   • Symantec: W32.Alcra.B
   • Mcafee: W32/Alcan.worm!p2p
   • Kaspersky: Email-Worm.Win32.VB.an
   • TrendMicro: WORM_VB.AS
   • F-Secure: Email-Worm.Win32.VB.an
   • Sophos: W32/Alcra-B
   • Panda: W32/Alcan.A.worm
   • VirusBuster: Worm.VB.COO!AU
   • Bitdefender: Win32.Vb.AN@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge des fichiers
   • Il crée un fichier
   • Il diminue les réglages de sécurité
   • Il modifie des registres

Immédiatement après l'exécution l'information suivante est affichée:

    • katz.ws
    • www.phazeddl.com

Fichiers Il s'autocopie dans les emplacements suivants:
   • %PROGRAM FILES%\winupdates\winupdates.exe
   • %PROGRAM FILES%\winupdates\a.tmp

Il se copie dans des fichiers compressés à l'emplacement suivant :
   • %PROGRAM FILES%\winupdates\a.zip

Il crée le répertoire suivant:
   • %home%\Complete

Une section est ajoutée à un fichier.
– A: %home%\.limewire\limewire.props Avec le contenu suivant:
   • DIRECTORIES_TO_SEARCH_FOR_FILES = %home%\Complete

Les fichiers suivants sont créés:

– Fichier inoffensif:
   • %SYSDIR%\bszip.dll

– %SYSDIR%\cmd.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\netstat.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\ping.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\regedit.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\taskkil.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\tasklist.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

– %SYSDIR%\tracert.com Ceci est un fichier texte non malveillant avec le contenu suivant:
   • MZ

Il essaie de télécharger des fichiers:

– Les emplacements sont les suivants:
   • members.chello.nl/p.litjens1/**********
   • members.chello.nl/r.elswyk/**********
   • members.chello.nl/e.figueiredorosa/**********
   • members.chello.be/catherine.bali1/**********
Il est sauvegardé sur le disque dur local à l'emplacement: C:\a.tmp Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Au moment de l'écriture, ce fichier n'était pas en ligne pour plus d'investigations.

– Les emplacements sont les suivants:
   • members.chello.nl/p.litjens1/**********
   • members.chello.nl/r.elswyk/**********
   • members.chello.nl/e.figueiredorosa/**********
   • members.chello.be/catherine.bali1/**********
Il est sauvegardé sur le disque dur local à l'emplacement: C:\b.tmp Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Au moment de l'écriture, ce fichier n'était pas en ligne pour plus d'investigations.

Il essaie d’exécuter le fichier suivant :

– Nom de fichier: Noms des fichiers:
   • %PROGRAM FILES%\LimwWire\LimeWire.exe

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• "winupdates" = "%PROGRAM FILES%\winupdates\winupdates.exe /auto"

P2P Afin d'infecter d'autres systèmes d'exploitation dans la communauté en réseau peer-to-peer, l'action suivante est entreprise:

– Il cherche le répertoire suivant:
   • %home%\Complete\

   En cas de succès, le fichier suivant est créé:
   • %rassemblé sur l'Internet%.zip

   Le fichier compressé contient une copie du Malware.

Arrêt de processus: Arrête l'exécution des processus qui contient la chaîne de caractères suivante dans le nom du fichier:
• %SYSDIR%\taskmgr32.exe

Informations divers Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
• windowsupdate.microsoft.com

Détails de fichier Langage de programmation:
Le fichier a été écrit en Visual Basic.

Voir la description brève ici.

Description inséré par Irina Boldea sur Tue, 18 Apr 2006 12:20 (GMT+1)
Description mise à jour par Irina Boldea sur Fri, 21 Apr 2006 08:33 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour