Worm/AIM.Husky - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/AIM.Husky
La date de la découverte:	14/07/2006
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Faible a moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	37.165 Octets
Somme de contrôle MD5:	da66a8ae31e61f5c9a01b6a30c4a59b9
Version VDF:	6.35.00.163
Version IVDF:	6.35.00.202

Général Méthode de propagation:
   • Programme de messagerie

Les alias:
   • Kaspersky: Backdoor.Win32.IRCBot.tj
   • TrendMicro: WORM_AIMBOT.AF
   • Bitdefender: Backdoor.IRC.C

Avant, il était détecté comme:
   • TR/AIM.Husky

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans les emplacements suivants:
• c:\winnt\system32\%chaîne de caractères aléatoire%.exe
• c:\windows\SYSTEM32\%chaîne de caractères aléatoire%.exe

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "mb2np"="%chaîne de caractères aléatoire%.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "mb2np"="%chaîne de caractères aléatoire%.exe"

Les valeurs de la clé de registre suivante sont supprimées:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ccApp
   • McAfee Guardian
   • KAV50
   • McAfee.InstantUpdate.Monitor
   • KAVPersonal50
   • avg7_emc
   • avg7_cc
   • nod32kui
   • BDOESRV
   • avast!

Les clés de registre suivantes sont changées:

Désactive le Pare-feu du Windows XP:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   L'ancienne valeur:
   • "EnableFirewall"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile]
   L'ancienne valeur:
   • "EnableFirewall"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile]
   L'ancienne valeur:
   • "EnableFirewall"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\DomainProfile]
   L'ancienne valeur:
   • "EnableFirewall"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   L'ancienne valeur:
   • "EnableFirewall"=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • "EnableFirewall"=dword:00000000

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– AIM Messenger

Message
Le message envoyé ressemble à celui-ci:

• http://%paramètre introduit%

Le message reçu aurait l'air du message suivant:

IRC Afin de fournir des informations sur le système et d'accès à distance, il se connecte aux serveurs IRC suivants:

Serveur: mb2np.dogi**********.com
Port: 5190
Canal: #mb2np
Pseudonyme: %chaîne de caractères aléatoire%
Mot de passe: niga

Serveur: mb2np.steve**********.biz
Port: 5190
Canal: #nigger
Pseudonyme: %chaîne de caractères aléatoire%

– Ce Malware a l'habilité de ramasser et d'envoyer l'information suivante:
    • Le temps de fonctionnement du Malware

– Ensuite il a la capacité d'opérer des actions tel que:
    • Lancer des attaques DDoS SYN
    • Télécharger un fichier
    • Exécuter un fichier
    • Démarrer une routine de propagation

Arrêt de processus: Les processus contenant un des titres de fenêtre suivants sont arrêtés:
   • WINDOWS TASK MANAGER
   • THE ETHEREAL NETWORK ANALYZER
   • REGISTRY EDITOR
   • SYSTEM CONFIGURATION UTILITY

Informations divers Mutex:
Il crée le Mutex suivant:
• mb2np

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Adriana Popa sur Wed, 19 Jul 2006 14:54 (GMT+1)
Description mise à jour par Adriana Popa sur Tue, 25 Jul 2006 12:52 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour