Nome del virus:Worm/IRCBot.52736.4
Scoperto:01/07/2007
Tipo:Worm
In circolazione (ITW):No
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:52.736 Byte
Somma di controllo MD5:ee3ed79ffb63344b6e50458b68a7814a
Versione VDF:6.39.00.78

 Generale Metodo di propagazione:
   • Messenger


Alias:
   •  Kaspersky: Backdoor.Win32.IRCBot.acd
   •  F-Secure: Backdoor.Win32.IRCBot.acd
   •  Sophos: W32/IRCBot-WV
   •  Panda: W32/IrcBot.AYK.worm
   •  Eset: Win32/IRCBot.XW trojan


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Clona un file “maligno”
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

 File  Copia se stesso dentro un archivio nella seguente posizione:
   • %WINDIR%\myalbum2007.zip



Viene creato il seguente file:

– File “non maligno”:
   • %HOME%\new.txt

– %SYSDIR%\sysprinters.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/IRCBot.24040

 Registro Vengono aggiunte le seguenti chiavi di registro:

– [HKCR\CLSID\{2E578F88-6425-4398-AB42-FF58EAA2566D}\InProcServer32]
   • @="sysprinters.dll"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
   ShellServiceObjectDelayLoad]
   • "system32"="{2E578F88-6425-4398-AB42-FF58EAA2566D}"

 Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– Windows Live Messenger


A:
Tutti i dati immessi nella lista dei contatti.


Messaggio
Il messaggio inviato è tipo il seguente:

   • Here are my very secret pictures for you.
     Here are my pictures from my vacation
     hmm is this you on the photo ?
     Check out my pics from my workplace.
     Nice new photos of me and my friends and stuff...
     ahh look this is my greatest picture made on vacation 2007, take a look
     Check out my nice photo album. :D
     hey regarde les tof de notre bande de fous. :p
     hey c'est toi dans ces tof!!???
     hey regarde les tof, c'est moi et mes copains entrain de.... :D
     j'ai fais pour toi cet album de photos tu dois le voire :p
     stp regarde cet album de photos je lai fais specialement pour toi et mes amis...
     mes photos chaudes :D
     t'as pas encore vu ces tof???
     hey kijk eens naar mijn nieuwe foto album
     hey bekijk eens mijn nieuwe foto album
     hmm ben jij dit op de foto ?
     hey kijk ! dit is een lijst van mijn nieuwste fotos !!
     ahh kijk mijn mooiste foto album van vakantie 2007 bekijk ze eens :p
     kijk dit zijn fotos van mij werkplek! :)
     meine hei
     en Fotos ! :p
     le mie foto calde :p
     mis fotos calientes
     mi fotografias :p
     Mi amigo tom
     las fotos agradables de m :p
     mis fotos calientes
     el lol mi hermana quisiera que le enviara este


Propagazione via file
Invia un file con il seguente nome:
   • %WINDIR%\myalbum2007.zip


Il messaggio ricevuto può apparire come il seguente:


 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: www.free4**********.net
Porta: 80
Canale: #.mafia
Nickname: new[USA][0H]%stringa di caratteri casuale%

 Come il virus si inserisce nei processi –  Inserisce il seguente file in un processo: %SYSDIR%\sysprinters.dll


– Inserisce una procedura di backdoor in un processo.

    Nome del processo:
   • EXPLORER.EXE


 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in Delphi.

Descrizione inserita da Alexandru Dinu su martedì 10 luglio 2007
Descrizione aggiornata da Alexandru Dinu su martedì 10 luglio 2007

Indietro . . . .