Nome del virus:Worm/Levona.A
Scoperto:05/07/2006
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio-Alto
Potenziale di danni:Medio-Alto
File statico:Si
Dimensione del file:43.008 Byte
Somma di controllo MD5:4d28947f612176e9be3e24202c7a5508
Versione VDF:6.35.00.120
Versione IVDF:6.35.00.146 - martedì 11 luglio 2006

 Generale Metodi di propagazione:
   • Email
   • Peer to Peer


Alias:
   •  Mcafee: W32/Avon@MM
   •  Kaspersky: Email-Worm.Win32.Levona.a
   •  TrendMicro: WORM_LEVONA.A
   •  VirusBuster: iworm I-Worm.Levona.A
   •  Eset: Win32/Levona.A worm
   •  Bitdefender: Win32.Worm.Levona.A


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro

 File Si copia alle seguenti posizioni:
   • %SYSDIR%\Emma.exe
   • %SYSDIR%\Nova.exe
   • %SYSDIR%\Alisa.exe
   • %WINDIR%\Mstry.exe

   • C:\Program Files\Common Files\Renova.exe
   • D:\Program Files\Common Files\Renova.exe
   • E:\Program Files\Common Files\Renova.exe
   • F:\Program Files\Common Files\Renova.exe
   • G:\Program Files\Common Files\Renova.exe

   • c:\\winnt\regedit.exe
   • c:\windows\regedit.exe
   • c:\winnt\system32\regedit.exe
   • c:\windows\system32\regedit.exe
   • D:\winnt\regedit.exe
   • D:\windows\regedit.exe
   • D:\winnt\system32\regedit.exe
   • D:\windows\system32\regedit.exe
   • E:\winnt\regedit.exe
   • E:\windows\regedit.exe
   • E:\winnt\system32\regedit.exe
   • E:\WINDOWS\system32\regedit.exe
   • F:\WINNT\regedit.exe
   • F:\WINDOWS\regedit.exe
   • F:\WINNT\system32\regedit.exe
   • F:\WINDOWS\system32\regedit.exe
   • G:\WINNT\regedit.exe
   • G:\WINDOWS\regedit.exe
   • G:\WINNT\system32\regedit.exe
   • G:\WINDOWS\system32\regedit.exe

   • c:\windows\System\msconfig.exe
   • c:\windows\system32\msconfig.exe
   • c:\winnt\system32\msconfig.exe




Prova ad eseguire i seguenti file:

– Nome dei file:
   • %SYSDIR%\Emma.exe
   • %SYSDIR%\Alisa.exe

 Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Renova = Nova.exe

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Shell = %PROGRAM FILES%\Common Files\Renova.exe



Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\Software\Policies\Microsoft\Windows\System]
   • DisableCMD = 0

– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
   • DisableConfig = 1
   • DisableSR = 1



Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
   Valore precedente:
   • ProductName = %impostazioni definite dell'utente%
   • RegisteredOrganization = %impostazioni definite dell'utente%
   • RegisteredOwner = %impostazioni definite dell'utente%
   • ProductId = %impostazioni definite dell'utente%
   Nuovo valore:
   • ProductName = RENOVA
   • RegisteredOrganization = XENOVA
   • RegisteredOwner = RENOVA
   • ProductId = RENOVA

– [HKCU\Software\Microsoft\Windows\CurrentVersion]
   Valore precedente:
   • RegisteredOrganization = %impostazioni definite dell'utente%
   • RegisteredOwner = %impostazioni definite dell'utente%
   • ProductId = %impostazioni definite dell'utente%
   • ProductName = %impostazioni definite dell'utente%
   Nuovo valore:
   • RegisteredOrganization = XENOVA
   • RegisteredOwner = RENOVA
   • ProductId = RENOVA
   • ProductName = RENOVA

– [HKCU\Control Panel\Desktop]
   Valore precedente:
   • AutoEndTasks = 0
   Nuovo valore:
   • AutoEndTasks = 1

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot]
   Valore precedente:
   • AlternateShell = cmd.exe
   Nuovo valore:
   • AlternateShell = %PROGRAM FILES%\Common Files\Renova.exe

– [HKLM\SYSTEM\ControlSet%numero%\Control\SafeBoot]
   Valore precedente:
   • AlternateShell = cmd.exe
   Nuovo valore:
   • AlternateShell = %PROGRAM FILES%\Common Files\Renova.exe

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Valore precedente:
   • Shell = explorer.exe
   • Userinit = explorer.exe
   Nuovo valore:
   • Shell = explorer.exe %PROGRAM FILES%\Common Files\Renova.exe
   • Userinit = explorer.exe %PROGRAM FILES%\Common Files\Renova.exe

Disattiva il Regedit e il Task Manager:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Nuovo valore:
   • DisableRegistryTools = 1
   • DisabletaskMgr = 1

– [HKCU\Software\Microsoft\Windows\CurrentVersion\
   Group Policy Objects\LocalUser\Software\Microsoft\Windows\
   CurrentVersion\Policies\System]
   Nuovo valore:
   • DisableRegistryTools = 1

Varie opzioni di Explorer:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\HideFileExt]
   Valore precedente:
   • Type = checked
   Nuovo valore:
   • Type =

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\NOHIDDEN]
   Valore precedente:
   • CheckedValue = %impostazioni definite dell'utente%
   • DefaultValue = %impostazioni definite dell'utente%
   Nuovo valore:
   • CheckedValue = 2
   • DefaultValue = 2

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Valore precedente:
   • CheckedValue = %impostazioni definite dell'utente%
   • DefaultValue = %impostazioni definite dell'utente%
   Nuovo valore:
   • CheckedValue = 1
   • DefaultValue = 2

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\HideFileExt]
   Valore precedente:
   • CheckedValue = %impostazioni definite dell'utente%
   • DefaultValue = %impostazioni definite dell'utente%
   Nuovo valore:
   • CheckedValue = 1
   • DefaultValue = 1

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valore precedente:
   • Hidden = %impostazioni definite dell'utente%
   • HideFileExt = %impostazioni definite dell'utente%
   Nuovo valore:
   • Hidden = 2
   • HideFileExt = 1

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Nuovo valore:
   • NoDriveTypeAutoRun = 91
   • NoSaveSettings = 0
   • NoFolderOptions = 0
   • NoFind = 1
   • NoRun = 0
   • NoControlPanel = 0

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
   Nuovo valore:
   • NoFolderOptions = 0
   • NoControlPanel = 0
   • NoFind = 1
   • NoRun = 0

 Email Utilizza il Messaging Application Programming Interface (MAPI) per inviare una risposta alle email contenute nella “InBox”. Le caratteristiche sono ulteriormente descritte:


Da:
L’indirizzo del mittente è l'account Outlook dell'utente.


Design dell'email:



A: %mittente originale%
Oggetto: Re: %oggetto originale%
Corpo della mail:
   • Sorry, Saya lupa nih :)
Allegato:
   • Nova.scr

L'allegato è una copia del malware stesso.



L’email si presenta come di seguito:


 P2P Per “infettare” altri sistemi della comunità della rete Peer to Peer, viene eseguita la seguente azione:   Recupera la cartella condivisa interrogando la seguente chiave di registro:
   • \Software\Kazaa\Transfer\DlDir0


 Processi terminati Lista dei processi che vengono terminati:
   • GUNBLADE.EXE
   • CAV.EXE

I processi che contengono una delle seguenti stringhe vengono terminati:
   • RABIAH; RABI'AH; MANTIK; PLATO; KINDI; IMAMAH; MATURID; HARUN NAS;
      IZUTSU; TEOLOGI; SUFI; PARTAI; HASAN ALBANA; IKHWANUL MUSLIMIN;
      TAHRIR; ARISTOTELES; GIBRAN; GHAZALI; IHYA; GENDER; PLURALISME; SYIAH;
      SYI'AH; DEMOCRA; DEMOKRA; LIBERAL; TASAWUF; SAMIR; YUNAN; QUTH;
      EMANSIP; PHILOSOP; MUTAZILAH; MU'TAZILAH; FILOSOF; FILSAFAT;
      REALPLAYER; CLEANER; MOVZX; REMOVER; ZANDA; MACHINE; CILLIN; CILIN;
      AVAST; GRISOFT; PROCEXP; NORTON; EARTHLINK PROTECTION; WASHER;
      ERTANTO; COMPACTBYTEAV; ADVANCED REGISTRY TRACER; KILL; CASTLECOPS;
      SOPHOS; F-SECURE; REGISTRYFIX; PANDA; SECUNIA; TREND; SYMANTEC;
      KASPERSKY; AVG; MCAFEE; NVC; NORMAN; VAKSIN; HACKER; COMMAND PROMPT;
      PROCESS EXPLORER - SYSINTERNALS; SYSTEM32; PCMAV; HIJACK; KILLBOX;
      FOLDER OPTION; CMD; WORM; TROJAN; VIRUS; ANTI; COMMAND BRO!!!; COMMAND
      BRO !!!; JOWOBOT; FAJAR; SATRIO; KANTUK; KANGEN; CUEX; EVANTA; BORAX;
      TITTA; CODE-X; MONTELLA; MONTELA; FERDINAND; CAMPBEL; CRUZ; ADRIANO;
      KAHN; RECOBA; FIGO; RAUL; GONZALES; CISSE; GERRAD; LAMPARD; TERRY;
      RIVALDO; GATUSO; GATTUSO; VAN DE; SHEARER; AIMAR; CLAUDIO; LOPEZ;
      TOLDO; CANNAVARO; NESTA; UMIT; HAKAN; LARSON; LARSSON; ETO O; ETO'O;
      MOVIC; MIDO; FABREGAS; HENRY; BARTHEZ; MANCINI; GILARD; BATIGOL;
      BATISTUA; TOTTI; COLE; OWEN; DIDA; RONALDINHO; TREZEG; ROBINHO;
      CARLOS; ROBERTO; RONALDO; MARADONA; PELE; VIDUKA; SALAS; KEWEL;
      PERUZZI; HOWARD; ZANETI; ZANETTI; GIGGS; ROONEY; BUFFON; VIERI; PIRLO;
      KAKA; ZLATAN; DECO; SHEVA; SHEVCHENKO; INZAGHI; PIERO; BECKHAM; BOCA
      J; BORDEUX; MONACO; MUNICH; MUNCHEN; DORTMUND; LEVERKUSEN; SEVILLA;
      VALENCIA; BARCA; BARCEL; MADRID; PARMA; LAZIO; ROMA; INTER; MILAN;
      JUVE; NEWCASTLE; LIVERPOOL; ARSENAL; CHELSEA; MANCHESTER; CUMBU; KISS;
      CIUM; RAYU; JULIET; ROMEO; VALENTINE; HENTAI; MANGA; ANIM; SUCK; FUCK;
      NAKE; NUDE; TEEN; GIRL; PORN; SEKS; SEX; THOMAS; JEREM; MAYANG S; NIA
      R; ZAYANT; DEWI; ANJASMARA; DIAN S; DIAN N; SOPIA; SOPHIA; MAYANG
      SARI; CUT KEKE; FEBIOLA; FEBY; JIHAN; CUT TARI; RIKE DIAH; WIBOWO;
      SARAH; AZAHRI; AZHARI; RIRIN; RATNASARI; TAMARA; ZUBIR; PRIMUS;
      REVALDO; ENNO LERIAN; ENO LERIAN; DIAH; KADIR; DOYOK; ULFA; KOMENG;
      JENIFER; JENNIFER; DICAPRIO; KRISTIN; ANGELLI; LEONARDO; KATE WIN;
      EMMA WATSON; HARY POTTER; HARRY POTTER; GOSSIP; GOSIP; SASTRA; SENI;
      ARTIS; BOLYWOOD; HOLYWOOD; SINETRON; VAGANZA; CELEBRI; SELEB; TSUBASA;
      SLAM DUNK; SAMURAI-X; SAMURAI X; HATTORI; HATORI; KABUTO; SHIZUKA;
      DORAEMON; NOBITA; INUYASHA; KENSHIN HIMURA; KOTARO MINAMI; KYOKO;
      EMIKO SHIRATORI; FAYE WONG; UEMATSU; NUOBUO; NOUBUO; NOBUO; NUBUO;
      MADONNA; MADONA; BENNINGTON; BENINGTON; GUN AND ROSE; GUN N ROSE;
      BLUR; SAMMY; PEARL; NAZARE; FRENTE; CRANBER; RADIOHEAD; RADIO HEAD;
      STING; SAYBIA; KEANE; GROBAN; ALTER; STEFAN; GWEN; MAROON; ANTHEM;
      GROOVE COVARAGE; PRODIGY; AGUILERA; BEDING; METALLICA; GUN N'ROSES;
      ALICIA KEYS; TATA YOUNG; BOY ZONE; MICHEL; MICHAEL; MICHEAL; MLTR;
      MARTYN; MARTIN; SCORPION; LINKIN PARK; LINKINPARK; GREEN DAY;
      GREENDAY; HOOBASTANK; PETER; WEST; SPICE; BRITNEY; DEDI DOR; NIA
      DANIAT; DAHLIA; NIKE ARD; BAGASKARA; KATON; NAFF; TITIK PUSPA; TITIEK
      PUSPA; DELON; SNADA; JOSHUA; SHERINA; SERIEUS; SERIUES; SEURIUS; 10 2
      5; TENTOFIVE; TEN2FIVE; 10 TO 5; TEN TO FIVE; TEN 2 FIVE; CHRISYE;
      SO7; SHEILA; GLENN; AURIL; AVRIL; OPICK; AGNES; ANANG; NUGIE; HADAD;
      HADDAD; AB THREE; REZA; CAFEIN; CAFFEIN; RATU; RADJA; LALUNA; THE
      RAIN; UTOPIA; SPARK; BASEJAM; ENDANK; JAVA JIVE; MARCEL; BUNGLON;
      ANDRE HEHANU; FLANELA; BAIM; CANDIL; KOES P; MINORU; NUNO; YOVI; AUDY;
      TERE; WAYANG; BASE JAM; JIKUSTIK; SAMSON; PAS BAND; BOOMERANG; NAIF;
      COKELAT; KAPTEN BAND; TIC BAND; JAMRUD; KOTAK BAND; AMERICAN IDOL;
      INDONESIAN IDOL; TEAM LO; BUNGA; TIPE-X; TIPE X; ELEMENT; EMINEM;
      RAIHAN; RAYHAN; MELY; MELLY; UNGU; STINGKY; SLANK; INUL; PADI; IWAN
      FAL; ADABAND; ADA BAND; ROSA; KRISDAYANTI; NURHALIZA; DEWA; ARY LASO;
      ARY LASSO; ARI LASO; ARI LASSO; GIGI; THE 0THERS; CHEER; DANCE; SING;
      SONG; MP 3; MP3; MARAWIS; NASYID; DANGDUT; MELODI; MELODY; SENANDUNG;
      IRAMA; GITAR; GUITAR; NYANYI; LAGU; WINAMP; MUSIK; MUSIC; DANIAT;
      PHILOSO; FUNNY; MALAS; SOUND; JPG; JPEG; RAGNAROK; FANTASY; IKHWANUL;
      ARISTO; PLURAL; GAME; DEMOC; DEMOK; FAKE; NORWE; REMOVE; PROTECT;
      COMPACT; REGISTRY; CASTLE; SOPH; SECUR; MCAFE; DEEP; HIJA; VIR; CRACK;
      HACK; ACT; BECK; GAMB; FOTO; PHOTO; KASIH; TUNANG; PACAR; CINTA; LOVE;
      JULIE; ROME; VALENT; LEONARD; KATE W; EMMA WAT; HARY; POTTER; HARRY;
      ART; BOLY; HOLY; SINE; EMIKO; WONG; FAYE; UEMA; NUO; NOB; NUB; MADO;
      BENING; BENNING; ROSE; GUN; ZONE; BOY; MICH; MART; SCORP; LINKIN;
      GREEN; HOOB; RIF; DEDI D; NIKE; PUSPA; JOSH; SHERIN; TEN TO; TEN 2;
      CHRIS; POTRET; NUGI; AUDI; AMERICA; ELEMEN; DANG

Vengono cercate le seguenti stringhe all'interno della memoria dei processi attivi. Se con successo, i processi vengono terminati.:
   • XMPLAYER.EXE; REALPLAY.EXE; ACDSEE.EXE; ALOGSERV.EXE; CM GRDIAN.EXE;
      CMGRDIAN.EXE; RULAUNCH.EXE; VSMAIN.EXE; AVPCC.EXE; AVPM.EXE;
      AVP32.EXE; AVWUPSRV.EXE; AVGNT.EXE; AVWIN.EXE; AVGEMC.EXE; AVGWB.DAT;
      AVGCC.EXE; TROJAN GUARDER.EXE; ASHSIMPL.EXE; ASHQUICK.EXE; OPERA.EXE;
      FIREFOX.EXE; IEXPLORE.EXE; TASKMGR.EXE; EMUSICCLIENT.EXE; ART.EXE;
      NAVW32.EXE; CCLAW.EXE; NVCOD.EXE; WINAMP.EXE

I processi che contengono uno dei seguenti “titolo finestra” vengono terminati:
   • CompactbyteAV; Advanced Registry Tracer; Setup - iKnowPS; iKnowPS;
      RamCleaner; System Cleaner; TuneUp RegistryCleaner; Antivirus Scanner;
      Zanda's little helper; Norman Generic Fix; NVC v5.81 Setup; Norman
      Virus Control - InstallShield Wizard; Process Explorer - Sysinternals:
      www.sysinternals.com; Pocket Killbox; RegCleaner 4.1 by Jouni Vuorio;
      Security Task Manager Versi shareware tanpa registrasi; Security Task
      Manager; Installation; EULA; PowerDVD; Windows Media Player; Microsoft
      Configuration Utility; System Restore; System Configuration Utility;
      Restrictions; Registry Editor; Close Programs; Close Program; Task
      Manager; Windows Script Host; HijackThis; HijackThis - v1.99.1;
      Getting Started with Windows 2000; Folder Options


 Varie Mutex:
Crea i seguenti Mutex:
   • Renova Aliciana
   • Renova Emira

 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
   • UPX

Descrizione inserita da Andrei Gherman su martedì 18 luglio 2006
Descrizione aggiornata da Andrei Gherman su mercoledì 19 luglio 2006

Indietro . . . .