Worm/AutoIt.B - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/AutoIt.B
La date de la découverte:	20/09/2006
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible a moyen
Potentiel de destruction:	Faible a moyen
Fichier statique:	Oui
Taille du fichier:	181.472 Octets
Somme de contrôle MD5:	2c978e0144ec56646a527473b87ebb6b
Version VDF:	6.36.00.36
Version IVDF:	6.36.00.46

Général Méthode de propagation:
   • Programme de messagerie

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il modifie des registres

Fichiers Il s'autocopie dans les emplacements suivants:
• %WINDIR%\svchost32.exe
• %temporary internet files%\Content.IE5\C5MBSP2B\host[1].jpg

Registre Les clés de registre suivantes sont ajoutée:

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.geocities.co.jp/**********"
   • "Window Title"="Viva TermeX !"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="c:\windows\\svchost32.exe"

La clé de registre suivante est changée:

Il désactive le Gestionnaire des tâches et l'éditeur de la base de registres
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   L'ancienne valeur:
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001
   La nouvelle valeur:
   • "DisableTaskMgr"=%réglages définis par l'utilisateur%
   • "DisableRegistryTools"=%réglages définis par l'utilisateur%

Programme de messagerie Il se répand par l'intermédiaire du programme de messagerie. Les caractéristiques sont décrites ci-dessous:

– Yahoo Messenger

A:
Tous les entrés de la liste de contacts:

Message
Le message envoyé ressemble à un des suivants:

   • the only way to clean some online viruses that may lead you into troubles : %lien% <<

   • A new dangerous computer virus that can destroys all your data has just been released . Click here to know how to avoid it : %lien% <<

   • have you ever seen such a silly man like this ? %lien% =))

   • Just check out my new personal website : %lien% C00l !!!

   • Now you can avoid some critical online viruses by updating Windows . Click here to know how to Update your Windows : %lien%

   • wtf is this ? Wanna give me a shit ? %lien% x-( <<

   • Let's vote for Miss Vietnam - Mai Phuong Thuy - for the upcoming Miss World championship : %lien% !!

   • cool girls : %lien% :x:x:x:x:x

   • Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: %lien%

   • making money online never be easier : %lien%

   • di'nh virus ru`i =)) du`ng cai nay ma diet na`y : %lien%

   • Download free MP3s : %lien% <<

   • ha`i dek chiu dc =)) %lien% =)) =))

%lien%
Tandis que le wildcard est l'un de ce qui suit :
   • http://www.geocities.co.jp/**********
   • http://www.geocities.co.jp/**********

Le message reçu aurait l'air du message suivant:

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Victor Tone sur Mon, 18 Sep 2006 10:26 (GMT+1)
Description mise à jour par Victor Tone sur Wed, 20 Sep 2006 14:40 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour