Worm/Sober.F - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sober.F
La date de la découverte:	04/04/2004
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Faible a moyen
Fichier statique:	Non
Taille du fichier:	42.496 Octets
Version VDF:	6.24.00.84

Général Méthode de propagation:
   • Email

Les alias:
   • Symantec: W32.Sober.F@mm
   • Mcafee: W32/Sober.f@MM
   • Kaspersky: Email-Worm.Win32.Sober.f
   • TrendMicro: WORM_SOBER.F
   • Grisoft: I-Worm/Sober.F
   • VirusBuster: I-Worm.Sober.G
   • Bitdefender: Win32.Sober.F@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge des fichiers
   • Il emploie son propre moteur de courrier électronique
   • Il modifie des registres

Juste après l'exécution il lance une application windows qui affiche le fenêtre suivante:

Fichiers Il s'autocopie dans les emplacements suivants:
   • %SYSDIR%\%mots aléatoires%.exe

%mots aléatoires%:
   • sys
   • host
   • dir
   • expolrer
   • win
   • run
   • log
   • 32
   • disc
   • crypt
   • data
   • diag
   • spool
   • service
   • smss32

Les fichiers suivants sont créés:

– Fichiers codés MIME contenant ses propres copies:
   • %SYSDIR%\winhex32xx.wrm
   • %SYSDIR%\winsys32xx.zzp

– Des fichiers qui contiennent des adresses email collectées:
   • %SYSDIR%\syst32win.dll
   • %SYSDIR%\spoofed_recips.ocx

– %TEMPDIR%\%le fichier exécuté%.txt Il est ouvert en employant l'application défaut pour ce type de fichier.

Il essaie de télécharger des fichiers:

– Les emplacements sont les suivants:
   • people.freenet.de/angiesweb/**********
   • scifi.pages.at/cyberx/**********
   • people.freenet.de/designs/**********
   • people.freenet.de/firstpageonweb/**********
   • scifi.pages.at/floraflori/**********
   • scifi.pages.at/free-web-side/**********
   • people.freenet.de/hinger/**********
   • scifi.pages.at/lebens-tipps/**********
   • people.freenet.de/michisweb/**********
   • scifi.pages.at/pc_help/**********
   • scifi.pages.at/rezepte/**********
   • people.freenet.de/schmink-tipps/**********
   • people.freenet.de/stefis_web/**********
   • people.freenet.de/zernys-seite/**********
Au moment de l'écriture, ce fichier n'était pas en ligne pour plus d'investigations.

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • %mots aléatoires% = %SYSDIR%\%mots aléatoires%.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
   %mots aléatoires%]
   • %mots aléatoires% = %SYSDIR%\%mots aléatoires%.exe

Email Il contient un moteur SMTP intégré pour envoyer des emails. Une connexion directe avec le serveur destination sera établie. Les caractéristiques sont décrites ci-dessous:
La langue dans laquelle l'email est envoyé dépend du Top-Level-Domain.

De:
L'adresse de l'expéditeur est falsifiée.
Adresses générées. Ne pas supposer pas que c'était l'intention de l'expéditeur de vous envoyer cet email. Il est possible qu'il ne sache pas qu'il est infecté ou il est possible qu'il ne soit pas du tout infecté. En outre, il est possible que vous receviez des emails en retour vous signifiant que vous êtes infecté. Ceci pourrait également ne pas être le cas.

A:
– Les adresses email trouvés dans des fichiers spécifiques du système.

Sujet:
Un des suivants:
   • Bad Gateway; Best; Confirmation Required; Connection failed; damn!;
      Details; Faulty mail delivery; Hey; hey you; Hi!; Hi, it's me; Illegal
      signs in Mail-Routing; Info; Information; Invalid mail sentence
      length; Mail delivery failed; Mail Delivery failure; mail delivery
      status; Mail Error; Message Error; Oh my God; Warning!; Well,
      surprise?!; Your document; Your mail account; Your mail-account; Your
      password; Einzelheiten; Fehler; Fehler in E-Mail; Fehlerhafte
      Mailzustellung; Hallo Du!; Hallo!; Hey Du; Hi, Ich bin's; Ich bin es
      .-); Ihr neues Passwort; Ihr Passwort; Illegale Zeichen in
      Mail-Routing; Mailzustellung fehlgeschlagen; Na,; Registrierungs-Best;
      Ung; Verbindung fehlgeschlagen; Verdammt; Warnung!; Datenbank-Fehler

Corps:
Le corps de l'email est un des suivants:

   • I was surprised, too! :-(
     Who could suspect something like that?
     shock

   • All OK :)
     see, what i've found!

   • hi its me
     i've found a shity virus on my pc. check your pc, too!
     follow the steps in this article.
     bye

   • I 've told you!:-) sometime I grab your passwords!


   • Follow the instructions to read the message.
     Please read the document

   • Your password was changed successfully.
     Protected message is attached.

   • I hope you accept the result!

   • Database Error
     -- Partial message is available!
     -- Error: llegal signs in Mail-Routing
     -- Mail Server: ESMTP VX32.9 Version Betha Alpha

   • *** Auto Mail Delivery System ***

   • ...

   • Ich war auch ein wenig
     Wer konnte so etwas ahnen!? Lese selbst
     Oh-Mann

   • Alles klaro bei dir?
     Schau mal was Ich gefunden habe!
     Meinst Du das wirklich?

   • Sieh mal nach ob du den Scheiss auch bei dir drauf hast!
     Ist ein ziemlich nervender Virus. Mach genau das, wie es im Text beschrieben ist!
     Bye

   • Ich habs dir doch gesagt, irgendwann schaffe ich es deine Passw
     Details entnehmen Sie bitte dem Attachment


   • Ihre E-Mail konnte nicht gesendet oder empfangen werden.

   • Passwort und Benutzername wurde erfolgreich geandert

   • Benutzer-Daten
     Wegen eines Datenbank- Fehlers
     Wenn Sie Unregelm
     Vielen Dank

   • Internet Provider Abuse:
     Wir haben festgestellt, dass Sie illegale Internet- Seiten besuchen.
     Bitte beachten Sie folgende Liste:
     Liste
     Schwarze-Liste

   • ***
     Mail- Anhang: Keine verd
     Mail Scanner: Kein Virus gefunden
     Anti- Virus: Es wurde kein Virus erkannt

Parfois continué par un des suivantes:

   • 67.28.114.32_failed_after_I_sent_the_message./
     Remote_host_said:_554_delivery_error:_dd_
     Sorry_your_message_cannot_be_delivered._
     This_account_has_been_disabled_or_discontinued_[
     102]._-_mta134.mail.dcn.com
     ** End of Transmission

   • The original message is a separate attachment.
     --- Mail To: UserHelp
     Read the attachment for details.
     Bad Gateway: The message has been attached.


   • Mail- Attachment: No suspicious Virus signatures
     Mail Scanner: No Virus found
     Anti-Virus: No Virus!

   • * End Transmission

Parfois continué par un des suivantes:

   • ++++ Service: http://www.%le domaine du destinataire%
     ++++ Mail To: User-info@%le domaine de l'expéditeur%

   • +++ A service of %le domaine du destinataire%
     +++ Mail: home@%le domaine de l'expéditeur%

   • ++++ Im www erreichbar unter: http://www.%le domaine du destinataire%
     ++++ E-Mail: KundenInfo@%le domaine de l'expéditeur%

   • --- Web: http://www.%le domaine du destinataire%
     --- Mail To: User-Hilfe@%le domaine de l'expéditeur%

   • +++ Ein Service von
     +++ http://www .%le domaine du destinataire%
     +++ E-Mail: Kundenservice@%le domaine de l'expéditeur%

Pièce jointe:
Les noms de fichier des attachements sont construits de ce qui suit:

– Il commence avec un des suivants:
   • Administrator
   • AMD-System.txt
   • anitv_text
   • AntiVirus-Text
   • attach-message
   • AutoMailer
   • Benutzer-Daten
   • block-lists
   • check_this
   • corrected_text-file
   • database_partial
   • database
   • Datenbank_Auszug
   • dokument
   • Error_Info
   • error
   • error-message
   • Fehler-Info
   • help
   • instructions
   • kurztext
   • message
   • Money-Help
   • partial
   • pass-message
   • pmessage-text
   • RobotMailer
   • Schwarze-Liste
   • textdocument
   • Text-Inhalt
   • User-info
   • webmaster
   • your_article
   • your_passwords

Parfois continué par un des suivants:
   • _attach

    L'extension du fichier est une des suivantes:
   • .pif
   • .zip

L'email pourrait ressembler à un des suivants:

Envoie de messages Recherche des adresses:
Il cherche les fichiers suivants pour des adresses email:
   • .abc; .abd; .abx; .adb; .ade; .adp; .adr; .asp; .bas; .cfg; .cgi;
      .cls; .ctl; .dbx; .dhtm; .doc; .dsp; .dsw; .eml; .fdb; .frm; .hlp;
      .ini; .jsp; .ldb; .ldif; .log; .mbx; .mda; .mdb; .mde; .mdw; .mdx;
      .mht; .mmf; .msg; .nab; .nch; .nfo; .nsf; .ods; .oft; .php; .pl; .pp;
      .ppt; .pst; .rtf; .shtml; .sln; .tbb; .txt; .uin; .vap; .vbs; .wab;
      .wsh; .xls; .xml

La création des adresses pour champ DE:
Pour produire des adresses il utilise les chaînes de caractères suivantes:
   • Administrator; Webmaster; Home; Register; Service; Info; admin;
      Error_Info; RobotMailer; AutoMailer; User-info; account; webmaster;
      Webmaster; Fehler-Info; Administrator; RobotMailer; AutoMailer;
      Register; Service; Info; Passwort; Kundenservice; Liste;
      Schwarze-Liste; Information

Il combine celle-ci avec les domaines de la liste suivante ou des adresses trouvées dans les fichiers du systèmes.

Le domaine est un de ceux qui suivent:
   • yahoo.com
   • yahoo.de
   • gmx.de
   • gmx.net
   • web.de
   • freenet.de
   • lycos.de

Éviter les adresses:
Il n'envoie pas des emails aux adresses contenant une des chaînes de caractères suivantes:
   • mailer-daemon; office; redaktion; support; variabel; password; time;
      postmas; service; freeav; @ca.; abuse; winrar; domain.; host.; viren;
      ewido.; emsisoft; linux; google; @foo.; winzip; @arin; mozilla; @iana;
      @avp; @msn; microsoft.; @sophos; @panda; symant; ntp-; ntp@; @ntp.;
      @kaspers; free-av; antivir; virus; verizon.; @ikarus.; @nai.;
      @messagelab; clock; yahoo.com; yahoo.de; gmx.de; gmx.net; web.de;
      freenet.de; lycos.de

Informations divers Synchronisation du temps:
Afin de synchroniser le temps local il contact les serveurs NTP sur le port 37:
   • ntps.cs.tu-berlin.de
   • ntp.fau.de
   • Rolex.Peachnet.edu
   • ns1.usg.edu
   • ptbtime.ptb.de
   • time.nrc.ca
   • ntp.metas.ch
   • timelord.regina.de
   • ntp.ece.cmu.edu

Chaîne de caractères:
Ensuite il contient la chaîne de caractères suivante:
   • @All AV: Die NTP, Update,... Funktionen, waren bereits ab Version.A vorhanden ! Im diesen Sinne:Odin alias Anon

Détails de fichier Langage de programmation:
Le fichier a été écrit en Visual Basic.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Andrei Gherman sur Tue, 25 Apr 2006 16:27 (GMT+1)
Description mise à jour par Andrei Gherman sur Tue, 25 Apr 2006 20:00 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour