Worm/Piggi.B - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Piggi.B
La date de la découverte:	06/03/2007
Type:	Ver
En circulation:	Non
Infections signalées	Faible
Potentiel de distribution:	Moyen à élevé
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	73.216 Octets
Somme de contrôle MD5:	021733db8aac0B2d7df515eed3507c05
Version VDF:	6.37.01.198
Version IVDF:	6.37.01.204

Général Méthodes de propagation:
   • Email
   • Le réseau local

Les alias:
   • Kaspersky: Trojan-Dropper.Win32.Agent.baw
   • F-Secure: Trojan-Dropper.Win32.Agent.baw
   • Eset: Win32/Piggi.NAA

Plateformes / Systèmes d'exploitation:
   • Windows NT
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il crée des fichiers malveillants
   • Il emploie son propre moteur de courrier électronique
   • Il diminue les réglages de sécurité
   • Il modifie des registres
   • Il emploie les vulnérabilités de software

Fichiers Il s'autocopie dans les emplacements suivants:
• %SYSDIR%\svchost.exe:svchost.exe
• %SYSDIR%\dllcahce\svchost.exe:svchost.exe

Il écrase les fichiers suivants.
– %PROGRAM FILES%\Symantec\LiveUpdate\AUPDATE.EXE
– %PROGRAM FILES%\Symantec\LiveUpdate\LUALL.EXE
– %PROGRAM FILES%\McAfee.com\Agent\mcupdate.exe

Les fichiers suivants sont créés:

– %SYSDIR%\msfsr.sys Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Drop.Agent.baw

– %SYSDIR%\drivers\%chaîne de caractères aléatoire%.sys Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: Worm/Piggi.A

Registre Les clés suivantes sont en permanence ajoutées aux registres, dans une boucle infinie, afin de lancer les processus après le redémarrage.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "SvcHost"="%SYSDIR%\svchost.exe:svchost.exe"
   • "reeipods"="%le dossier d'exécution du malware%"

Il crée l'entrée suivante afin de passer par le Firewall de Windows XP:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%le dossier d'exécution du malware%\%le fichier
      exécuté%"="%le dossier d'exécution du malware%\%le
      fichier exécuté%:*:enabled:@xpsp2res.dll,-22019"

Email Il contient un moteur SMTP intégré pour envoyer des emails. Une connexion directe avec le serveur destination sera établie. Les caractéristiques sont décrites ci-dessous:

De:
L'adresse de l'expéditeur est falsifiée.

A:
– Les adresses email trouvés dans des fichiers spécifiques du système.
– les adresses d'email recueillies du WAB (Windows Address Book)

Sujet:
Le suivant:
   • Your hidden site, Your hidden website, You site, Your site, Your
      website, Poker, Poker technique, Poker strategy, Online poker, Gaming,
      Online gaming, Online casino, Casino, Myspace, Myspace details, Your
      myspace details, Look at this!, Screensaver attached, Movie attached,
      Video attached, Free game downloader attached, Play this, Free game
      attached, Game attached, Listen to this!, Listen to the attachment,
      Your speech attached, Your voice attached, Your mix attached, Your
      tune attached, Your YouTube movie attached, Your YouTube video
      attached, Your movie attached, Your video attached, Free - just open
      the attachment!, Free gift, Free offer, Free - See the attachment!,
      Free!, You attached!, Your photo attached, Your picture attached, Look
      at the attachment, Open this attachment, See the attachment, An
      important message, yousite, yoursite, yourwebsite, Tekken, Indiana
      Jones 4, Hilary Duff, Carmen Electra, Jessica Alba, Jennifer Lopez,
      Jessica Simpson, Angelina Jolie, Britney Spears, Paris Hilton, Pamela
      Anderson, Dragonball, Terminator 4, Alien vs. Predator 2, Resident
      Evil 3, Rush Hour 3, Live Free or Die Hard, Spider-Man 3, Premonition,
      The Hills Have Eyes II, Ghost Rider, Heroes season 2, Smith season 2,
      Shark season 2, Jericho season 2, Studio 60 on the Sunset Strip season
      2, Six Degrees season 2, CSI: London, Grey's Anatomy - next season,
      Lost season 4, details, msg, message, document, attachment, letter,
      text, mail transcript, instructions, readme, poker, pokertechnique,
      pokerstrategy, onlinepoker, gaming, onlinegaming, onlinecasino,
      casino, myspace, myspacedetails, yourmyspacedetails, your tax returns,
      your financial information, your financial details, your bank account
      details, your SSN, etc, your personal information, your personal
      details, Dungeons & Dragons, Online: Stormreach Pursuit Force, Auto
      Assault, Metal Gear: Subsistence, Extreme Ghouls n' Ghosts, Full Auto,
      Starcraft: Ghost Huxley, Splinter Cell: Double Agent, Halo 3, Star
      Trek: Legacy, Rainbow Six: Vegas, Final Fantasy XIII, Resident Evil 5,
      Resistance: Fall of Man, Assassin’s Creed, Virtua Fighter 5, Full
      Auto 2: Battlelines, Killzone, PS3, Crysis Warhammer, Online, Age Of
      Reckoning, Command & Conquer 3: Tiberium Wars, Hellgate: London Prey,
      Unreal Tournament 2007, Ghost Recon: Advanced Warfighter, Spore,
      BioShock, Half-Life 2: Aftermath, Star Wars: Empire at War, Enemy
      Territory: Quake Wars, Neverwinter Nights 2

Corps:
Le corps de l'email est un des suivants:

   • Hi

     You gotta play this.

     The attached file will install the full game.

   • Hi
     You have to see it to believe it!
     --------------------------------------------------------------------------------
     Attachment: No Virus found.
     Scanned by Norton AntiVirus - symantec.com

   • Hi,
     We discovered this clip of you on a web site. You should hear it immediately.

   • Hi
     We discovered this movie of you on YouTube. You have to open it straight away.

   • Hi %le nom d'utilisateur du compte d'email%,
     You gotta play Resistance: Fall of Man (unreleased).
     The attached file will download the full game.
     This is completely free.

   • Hi %le nom d'utilisateur du compte d'email%,
     I found your personal details on the net.
     It looks like somebody has hijacked your computer and posted the attached file.
     You need to check the details in the attachment to see if they are genuine.

   • Hi
     I found this picture (attached) of you on the net. I think you should open it right now.

   • Hello %le nom d'utilisateur du compte d'email%,
     We saw this image (attached) of you on Flickr. You should open it immediately.

   • Hi %le nom d'utilisateur du compte d'email%,
     Somebody has broken into your MySpace account.
     You should verify the details in the attachment to see if they are real.

   • Hi
     I saw this image (attached) of you on somebody's blog. I think you should open it immediately.

   • Hi %le nom d'utilisateur du compte d'email%,
     I found a never seen before clip of Six Degrees season 2 (attached).
     You have to see it to believe it.

   • I heard this tape of you on somebody's blog. You have to listen to it right now.

   • Hi
     We saw this amazing free offer on the net.
     A brand new Creative Zen V Plus for free.
     Just open the attachment for details.

   • Hi %le nom d'utilisateur du compte d'email%,
     You might like to play Star Trek: Legacy (unreleased).
     The attached file will download the rest of the game.
     This is completely free.

   • Our records indicate that you have not updated your McAfee products recently.
     The attached file contains a cumulative rollup of security fixes necessary to help keep your computer safe.
     Please install it immediately by opening the attachment.
     McAfee Customer Support Team.
     McAfee.com

   • Hi
     Unbeatable Poker strategy.
     Just open the attachment for details.
     ________________________________

     ++ Attachment: No Virus found.
     ++ McAfee AntiVirus - mcafee.com
     ________________________________

   • Our records indicate that you have not updated your Microsoft products recently.
     The attached file contains a cumulative rollup of security fixes necessary to help keep your computer safe.
     Please install it immediately by opening the attachment.
     Microsoft Customer Support Team.
     Microsoft.com
     --------------------------------------------------------------------------------
     Attachment: No Virus found.

Pièce jointe:
Les noms de fichier des attachements sont construits de ce qui suit:

   • yourhiddensite
   • hiddensite
   • yousite
   • yoursite
   • yourwebsite
   • Tekken
   • Indiana Jones 4
   • Hilary Duff
   • Carmen Electra
   • Jessica Alba
   • Jennifer Lopez
   • Jessica Simpson
   • Angelina Jolie
   • Britney Spears
   • Paris Hilton
   • Pamela Anderson
   • Dragonball
   • Terminator 4
   • Alien vs. Predator 2
   • Resident Evil 3
   • Rush Hour 3
   • Live Free or Die Hard
   • Spider-Man 3
   • Premonition
   • The Hills Have Eyes II
   • Ghost Rider
   • Heroes season 2
   • Smith season 2
   • Shark season 2
   • Jericho season 2
   • Studio 60 on the Sunset Strip season 2
   • Six Degrees season 2
   • CSI: London
   • Grey's Anatomy - next season
   • Lost season 4
   • details
   • message
   • document
   • attachment
   • letter
   • transcript
   • instructions
   • readme
   • poker
   • pokertechnique
   • pokerstrategy
   • onlinepoker
   • gaming
   • onlinegaming
   • onlinecasino
   • casino
   • myspace
   • myspacedetails
   • yourmyspacedetails
   • your tax returns
   • your financial information
   • your financial details
   • your bank account details
   • your SSN etc
   • your personal information
   • your personal details
   • Dungeons & Dragons Online: Stormreach
   • Pursuit Force
   • Auto Assault
   • Metal Gear: Subsistence
   • Extreme Ghouls n' Ghosts
   • Full Auto
   • Starcraft: Ghost
   • Huxley
   • Splinter Cell: Double Agent
   • Halo 3
   • Star Trek: Legacy
   • Rainbow Six: Vegas
   • Final Fantasy XIII
   • Resident Evil 5
   • Resistance: Fall of Man
   • Assassin
   • s Creed
   • Virtua Fighter 5
   • Full Auto 2: Battlelines
   • Killzone PS3
   • Crysis
   • Warhammer Online Age Of Reckoning
   • Command & Conquer 3: Tiberium Wars
   • Hellgate: London
   • Unreal Tournament 2007
   • Ghost Recon: Advanced Warfighter
   • Spore
   • BioShock
   • Half-Life 2: Aftermath
   • Star Wars: Empire at War
   • Enemy Territory: Quake Wars
   • Neverwinter Nights 2
   • youtube-you

    Parfois continué par une des extension fausses suivantes, à la suite de quelques espaces vides:
   • .wav
   • .wma
   • .mp3
   • .rtf
   • .html
   • .txt
   • .gif
   • .jpeg

    L'extension du fichier est une des suivantes:
   • scr
   • pif
   • exe
   • bat
   • cmd
   • com

Voici quelques exemples de la manière dont le nom du fichier de la pièce jointe pourrait ressembler:
   • Rainbow Six_Vegas.exe
   • you.scr
   • Mc Afee update.exe
   • yousite.com
   • myspace.txt.pif

L'attachement est une copie du malware lui-même.

L'email pourrait ressembler à un des suivants:

Envoie de messages Recherche des adresses:
Il cherche le fichier suivant pour des adresses email:
   • vbc, snm, smd, pst, pop, pmx, ply, nsf, na2, mmf, mlm, ldb, imc, imb,
      iaf, gup, gdb, gam, dvc, dld, clb, cdm, cat, pab, edb, btx, btr, brk,
      md, mb, bk, blt, adr, bib, bgt, bcn, bcm, bag, vcf, map, log, jav,
      nws, mht, wsh, vbs, uin, rtf, oft, js, eml, doc, dht, cgi, pdf, xsl,
      xml, sql, csv, tex, css, pl, adb, tbb, db, asp, php, sht, ht, txt

Infection du réseau La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS04-007 (ASN.1 Vulnerability)
–MS06-040 (Vulnérabilité dans Service de Serveur)

La création des adresses IP:
Il crée des adresses IP aléatoires et il essaye d'établir une connexion avec elles.

Arrêt de processus: La liste des services qui sont désactivés:
   • sharedaccess
   • wscsvc
   • lanmanserver
   • Browser
   • SymAppCore
   • navapsvc
   • McShield

Informations divers Connexion Internet:
Afin de vérifier sa connexion Internet, le serveur DNS suivant est contacté:
• A.ROOT-SERVERS.NET

Il vérifie l'existence d'une connexion Internet en contactant le site web suivant:
• www.mi5.gov.uk

La technologie Rootkit Il cache les suivants:
– Ses propres fichiers
– Ses propres processus

La méthode utilisée:
• Caché de Windows API

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Ernest Szocs sur Tue, 06 Mar 2007 13:59 (GMT+1)
Description mise à jour par Ernest Szocs sur Wed, 07 Mar 2007 13:00 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour