Nome del virus:Worm/NetSky.AM
Scoperto:28/09/2005
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:33.280 Byte
Somma di controllo MD5:0ab51a0826abca7ad25fb3e5797a8f09
Versione VDF:6.32.0.49

 Generale Metodo di propagazione:
   • Email


Alias:
   •  Symantec: W32.Mytob.EE@mm
   •  Mcafee: W32/Mytob.gen@MM
   •  Kaspersky: Net-Worm.Win32.Mytob.cz
   •  TrendMicro: WORM_MYTOB.KR
   •  Bitdefender: Win32.Mydoom.BA@mm


Piattaforme / Sistemi operativi:
   • Windows 2000
   • Windows XP


Effetti secondari:
   • Blocca l'accesso a siti web di sicurezza
   • Disattiva le applicazioni di sicurezza
   • Utilizza un proprio motore SMTP per l'invio di email
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\scrigz.exe



Cancella la copia di se stesso eseguita inizialmente.

 Registro Le seguenti chiavi di registro sono aggiunte continuamente in un loop infinito, con lo scopo di eseguire il processo dopo il riavvio.

–  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "RAX SYSTEM"="scrigz.exe"

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "RAX SYSTEM"="scrigz.exe"

 Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:


Da:
L'indirizzo del mittente è falso.
Indirizzi generati. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria ”infezione” o addirittura potrebbe non essere “infetto”. In più si potrebbero ricevere email bounce che diranno che si è “infetti”. Questo potrebbe comunque non essere il caso.


A:
– Indirizzi email trovati in specifici file sul sistema.
– Indirizzi email raccolti da WAB (Windows Address Book)
– Indirizzi generati


Oggetto:
Uno dei seguenti:
   • *DETECTED* Online User Violation
   • Email Account Suspension
   • Important Notification
   • Members Support
   • Notice of account limitation
   • Security measures
   • Warning Message: Your services near to be closed.
   • You have successfully updated your password
   • Your Account is Suspended
   • Your Account is Suspended For Security Reasons
   • Your new account password is approved
   • Your password has been successfully updated
   • Your password has been updated

Inoltre la riga dell’oggetto può contenere delle lettere casuali.


Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:

   • Dear user %username from receivers email address%,
     
     It has come to our attention that your %nome a dominio del ricevente dall'indirizzo email% User Profile ( x ) records are out of date. For further details see the attached document.
     
     Thank you for using %nome a dominio del ricevente dall'indirizzo email% !
     The %nome a dominio del ricevente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del ricevente dall'indirizzo email% Antivirus - www.%nome a dominio del ricevente dall'indirizzo email%

   • Dear user %username from receivers email address%,
     
     You have successfully updated the password of your %nome a dominio del ricevente dall'indirizzo email% account.
     
     If you did not authorize this change or if you need assistance with your account, please contact %nome a dominio del ricevente dall'indirizzo email% customer service at: %indirizzo email del mittente%
     
     Thank you for using %nome a dominio del ricevente dall'indirizzo email% !
     The %nome a dominio del ricevente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del ricevente dall'indirizzo email% Antivirus - www.%nome a dominio del ricevente dall'indirizzo email%

   • Dear %nome a dominio del ricevente dall'indirizzo email% Member,
     
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.
     
     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     
     Virtually yours,
     The %nome a dominio del ricevente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus found
     +++ %nome a dominio del ricevente dall'indirizzo email% Antivirus - www.%nome a dominio del ricevente dall'indirizzo email%

   • Dear %nome a dominio del ricevente dall'indirizzo email% Member,
     
     We have temporarily suspended your email account %indirizzo email del ricevente%.
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of
     subscription due to an internal error within our processors.
     See the details to reactivate your %indirizzo email del ricevente% account.
     
     Sincerely,
     The %nome a dominio del ricevente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del ricevente dall'indirizzo email% Antivirus - www.%nome a dominio del ricevente dall'indirizzo email%


File allegato:
I nomi dei file allegati vengono estrapolati dai seguenti:

–  Inizia con uno dei seguenti:
   • accepted-password
   • account-details
   • account-info
   • account-password
   • account-report
   • approved-password
   • document
   • email-details
   • email-password
   • important-details
   • new-password
   • password
   • readme
   • updated-password
   • %stringa di caratteri casuale%

    L'estensione del file è una delle seguenti:
   • zip

L'allegato è una copia del malware stesso.



L’email si presenta come di seguito:


 Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • adb; asp; cgi; dbx; htm; html; jsp; php; sht; tbb; wab; xml


Generazione dell'indirizzo per il campo FROM:
Per generare indirizzi utilizza le seguenti stringhe:
   • admin
   • administrator
   • info
   • mail
   • register
   • service
   • support
   • webmaster

Combina il risultato con i domini trovati nei file dopo la precedente ricerca di indirizzi.


Generazione dell'indirizzo per il campo TO:
Per generare indirizzi utilizza le seguenti stringhe:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom

Combina il risultato con i domini trovati nei file dopo la precedente ricerca di indirizzi.


Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • .edu; .gov; .mil; abuse; accoun; acketst; anyone; arin.; avp;
      be_loyal:; berkeley; borlan; bsd; bugs; certific; contact; example;
      fcnz; feste; fido; foo.; fsf.; gnu; gold-certs; google; gov.; help;
      hotmail; iana; ibm.com; icrosof; icrosoft; ietf; inpris; isc.o; isi.e;
      kernel; linux; listserv; math; mit.e; mozilla; msn.; mydomai; nobody;
      nodomai; noone; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; root; ruslis; samples; secur;
      sendmail; site; soft; somebody; someone; sopho; spm; submit; syma;
      tanford.e; the.bat; unix; usenet; utgers.ed; www; you; your


Aggiunte alla stringa MX:
Per ottenere l'indirizzo IP del mail server, ha la capacità di aggiungere in testa al nome di dominio le seguenti stringhe:
   • gate
   • mail
   • mail1
   • mx
   • mx1
   • mxs
   • ns
   • relay
   • smtp

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: rax.**********ihax.info
Porta: 43287
Canale: #skyelite
Nickname: [X]%stringa casuale di sei caratteri%


– In più ha la capacità di effettuare azioni quali:
    • Download di file
    • Eseguire file
    • Terminare il malware
    • Aggiornarsi

 Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti non vengono modificati.

– L'accesso ai seguenti domini è effettivamente bloccato:
   • avp.com; ca.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; ebay.com; f-secure.com; kaspersky.com;
      kaspersky-labs.com; liveupdate.symantec.com;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      microsoft.com; moneybookers.com; my-etrust.com; nai.com;
      networkassociates.com; pandasoftware.com; paypal.com; rads.mcafee.com;
      secure.nai.com; securityresponse.symantec.com; sophos.com;
      symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; viruslist.com; virustotal.com;
      www.amazon.ca; www.amazon.co.uk; www.amazon.com; www.amazon.fr;
      www.avp.com; www.ca.com; www.ebay.com; www.f-secure.com;
      www.grisoft.com; www.kaspersky.com; www.mcafee.com; www.microsoft.com;
      www.moneybookers.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.pandasoftware.com; www.paypal.com;
      www.sophos.com; www.symantec.com; www.trendmicro.com;
      www.viruslist.com; www.virustotal.com


 Processi terminati Lista dei processi che vengono terminati:
   • _AVP32.EXE; _AVPCC.EXE; _AVPM.EXE; CMD.EXE; NEC.EXE; TASKMGR.EXE;
      VSHWIN32.EXE; VSISETUP.EXE; VSMAIN.EXE; VSMON.EXE; VSSTAT.EXE;
      VSWIN9XE.EXE; VSWINNTSE.EXE; VSWINPERSE.EXE; W32DSM89.EXE; W9X.EXE;
      WATCHDOG.EXE; WEBDAV.EXE; WEBSCANX.EXE; WEBTRAP.EXE; WFINDV32.EXE;
      WHOSWATCHINGME.EXE; WIMMUN32.EXE; WIN32.EXE; WIN32US.EXE;
      WINACTIVE.EXE; WIN-BUGSFIX.EXE; WINDOW.EXE; WINDOWS.EXE; WININETD.EXE;
      WININIT.EXE; WININITX.EXE; WINLOGIN.EXE; WINMAIN.EXE; WINNET.EXE;
      WINPPR32.EXE; WINRECON.EXE; WINSERVN.EXE; WINSSK32.EXE; WINSTART.EXE;
      WINSTART001.EXE; WINTSK32.EXE; WINUPDATE.EXE; WKUFIND.EXE; WNAD.EXE;
      WNT.EXE; WRADMIN.EXE; WRCTRL.EXE; WSBGATE.EXE; WUPDATER.EXE;
      WUPDT.EXE; WYVERNWORKSFIREWALL.EXE; XPF202EN.EXE; ZAPRO.EXE;
      ZAPSETUP3001.EXE; ZATUTOR.EXE; ZONALM2601.EXE; ZONEALARM.EXE


Il seguente servizio viene disattivato:
   • SharedAccess

 Varie Crea il seguente Mutex:
   • H-E-L-L-B-O-T-P-O-L-Y-M-O-R-P-H

 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Iulia Diaconescu su giovedì 29 settembre 2005
Descrizione aggiornata da Iulia Diaconescu su martedì 18 ottobre 2005

Indietro . . . .