Nome del virus:W32/Chir.B
Scoperto:30/08/2005
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Medio-Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio-Alto
File statico:No
Versione IVDF:6.31.01.194 - martedì 30 agosto 2005

 Generale Metodi di propagazione:
   • Email
   • Rete locale


Alias:
   •  Symantec: W32.Chir.B@mm
   •  Mcafee: W32/Chir.b@MM virus
   •  Kaspersky: Email-Worm.Win32.Runouce.b
   •  F-Secure: Email-Worm.Win32.Runouce.b
   •  Sophos: W32/Chir-B
   •  Panda: W32/Chir.B
   •  Grisoft: Win32/Chir.B@mm
   •  Eset: Win32/Chir.B worm
   •  Bitdefender: Win32.Parite.B


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Clona un file “maligno”
   • Utilizza un proprio motore SMTP per l'invio di email

 Identificazione speciale Storico delle versioni:
È stato rilasciato il seguente aggiornamento del motore per potenziare la proprietà di individuazione:

   •  7.09.04.22/8.02.04.22   ( 20/07/2010 )

 File Si copia alla seguente posizione:
   • %SYSDIR%\runouce.exe



Viene creato il seguente file:

– Copia di se stesso con codifica MIME:
   • Readme.eml

 Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Runonce"="%SYSDIR%\runouce.exe"

 File virale Metodo:

Questo virus ad azione diretta ricerca attivamente dei file.

 Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:


Da:
L'indirizzo del mittente è falso.


A:
– Indirizzi email trovati in specifici file sul sistema.


Oggetto:
Il seguente:
   • %nome utente dall'indirizzo email del mittente% is coming!



File allegato:
Il nome del file allegato è:
   • PP.exe

L'allegato è una copia del malware stesso.

 Varie Mutex:
Crea il seguente Mutex:
   • ChineseHacker-2


Stringa:
In più contiene la seguente stringa:
   • Net Send * My god! Some one killed ChineseHacker-2 Monitor

Descrizione inserita da Thomas Wegele su giovedì 13 novembre 2008
Descrizione aggiornata da Andrei Ivanes su giovedì 23 dicembre 2010

Indietro . . . .