Worm/Sohanat.AX - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Sohanat.AX
La date de la découverte:	14/02/2007
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	185.542 Octets
Somme de contrôle MD5:	019491172aa082ca33a76793a651a09a
Version VDF:	6.37.01.105
Version IVDF:	6.37.01.106

Général Méthode de propagation:
   • Programme de messagerie

Les alias:
   • F-Secure: IM-Worm.Win32.Sohanad.u
   • Sophos: W32/Sohana-K
   • Grisoft: Autoit.Y
   • Eset: Win32/Sohanad.U

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il télécharge un fichier malveillant
   • Il crée un fichier malveillant
   • Il modifie des registres

Fichiers Il essaie de télécharger un ficher:

– L'emplacement est le suivant:
• http://64.26.25.75/**********
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\svchost.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: Worm/VB.CK.9

Registre La clé de registre suivante est ajoutée afin de lancer le processus après le redémarrage:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "SVCHOST"="%WINDIR%\svchost.exe"
   • "Task Manager"="%WINDIR%\svhost32.exe"

Les clés de registre suivantes sont ajoutée:

– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
   • "DisableConfig"="1"

– [HKCU\Software\Google\GoogleToolbarNotifier]
   • "KeepDS"=dword:00000000
   • "ShowTrayIcon"=dword:00000000

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://zinblog.com"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://zinblog.com"

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

Les clés de registre suivantes sont changées:

La page de démarrage d'Internet Explorer:
– [HKCU\Software\Microsoft\Internet Explorer\Main]
   La nouvelle valeur:
   • "Start Page"="http://zinblog.com"

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   La nouvelle valeur:
   • "Search Bar"="http://zinblog.com"
   • "Use Search Asst"="no"
   • "Search Page"="http://zinblog.com"

– [HKCU\Software\Microsoft\Internet Explorer\SearchUrl]
   La nouvelle valeur:
   • "(Default)"="http://zinblog.com"

– [HKCU\Software\Microsoft\Search Assistant]
   La nouvelle valeur:
   • "DefaultSearchURL"="http://zinblog.com"

Différents réglages pour Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   La nouvelle valeur:
   • "NoRun"=dword:00000001

Il désactive le Gestionnaire des tâches et l'éditeur de la base de registres
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   La nouvelle valeur:
   • "DisableRegistryTools"=dword:00000001
   • "DisableTaskMgr"=dword:00000001

Programme de messagerie – Yahoo Messenger
Tous les entrés de la liste de contacts:

Message
Le message envoyé ressemble à un des suivants:

   • This is my one-off Xmas e-card for you ^_^ http://zinblog.com/?id=ecard =)) This message was certified by %yahoo user%

   • making money online never be easier : http://unitedreporters.org/?id=tips >:D< This message was certified by %yahoo user%, no worm

   • Vote for our Miss beauty today !!! http://unitedreporters.org/?id=miss_world :x:x:x:x:x This message was certified by %yahoo user%, no worm

   • DIY dynamite from Whisky, Coke and Mentos : http://zinblog.com/?id=dynamite << This message was certified by %yahoo user%, no worm

   • Fuck !!! X-( http://zinblog.com/?id=password << This message was certified by %yahoo user%, no worm

   • I made 10 gifts for the first 10 people post comments on my own page : http://lucyblog.com ^_^

   • Be careful. There’ll be earthquake tonight !!! http://unitedreporters.org/?id=warning << This message was certified by %yahoo user%, no worm

   • My new personal website : http://zinblog.com c0ol !!!

   • Microsoft to release 2007 free-of-charge packs of Winsdows Vista for its first 2007 online registered users: http://unitedreporters.org/?id=ms << This message was certified by %yahoo user%, no worm

   • wtf is this ? wanna give me a shit ? http://unitedreporters.org/?id=news X-(

   • Breaking news : Osama Bin Laden has been arrested !! http://unitedreporters.org/?news_id=18388 This message was certified by %yahoo user%, no worm

   • Yahoo to charge fee for its YM service http://zinblog.com/?id=ym This message was certified by %yahoo user%, no worm

   • OMG ! She is really beautiful :x http://zinblog.com/DSC00273.JPG This message was certified by %yahoo user%, no worm

Le URL se rapporte alors à une copie du malware décrit. Si l'utilisateur télécharge et exécute ce fichier le procédé d'infection commencera encore.

Le message reçu aurait l'air du message suivant:

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.
Pour entraver la détection et pour réduire la taille du fichier il est compressé avec le logiciel de compression des exécutables suivant:
• UPX

Voir la description brève ici.

Description inséré par Ernest Szocs sur Thu, 15 Feb 2007 09:55 (GMT+1)
Description mise à jour par Ernest Szocs sur Mon, 19 Feb 2007 18:00 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour