Worm/VBbot.L - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/VBbot.L
Scoperto:	05/09/2005
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	61.440 Byte
Somma di controllo MD5:	0121a7a330f446e43a84df481e3503c9

Generale Metodo di propagazione:
   • Messenger

Alias:
   • Kaspersky: Backdoor.Win32.VBbot.l
   • TrendMicro: BKDR_VBBOT.F

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Blocca l'accesso a siti web di sicurezza
   • Disattiva le applicazioni di sicurezza
   • Scarica file “maligni”
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Accesso e controllo del computer da parte di terzi

Giusto dopo l'esecuzione viene visualizzata la seguente informazione:

File Si copia alla seguente posizione:
• %SYSDIR%\%stringa di caratteri casuale%\svshost.exe

Cancella la copia di se stesso eseguita inizialmente.

Viene creato il seguente file:

– %TEMPDIR%\temp.bat Viene eseguito ulteriormente dopo che è stato completamente creato. Questo file automatico è utilizzato per cancellare un file.

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– HKLM\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%stringa di caratteri casuale%\svshost.exe"

– HKCU\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%stringa di caratteri casuale%\svshost.exe"

Viene cambiata la seguente chiave di registro:

– HKLM\system\currentcontrolset\services\sharedaccess
   Valore precedente:
   • "Start"=dword:%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– AIM Messenger
– MSN Messenger

A:
Tutti i dati immessi nella lista dei contatti.

Messaggio
Il messaggio inviato sarà tipo uno dei seguenti:

   • Hej, download this if you want free Emotions and more Extras for your messenger : %link%

   • rofl you gotta see this %link%

   • Hey I found new Winks and Emoticons for your messenger and alot more Check them out here : %link%

   • Messeger PLUS just have been released Check it out it got alot of extra features that makes your Messenger alot better. Download it here : %link%

   • are bored of your emoticons and winks ? download this tool : %link%

   • Hej, you already got the new Messenger ? :D %link%

   • Messenger Plus 6.0 Beta released....get it here :) %link%

   • Hej, wanna update your Messenger :D ? %link%

   • lmao, this is awesome! %link%

   • lol I just updated my Messenger and I call tell you it ROCKS!! %link%

   • Check this out bro, its awsome :D !! %link%

   • lol, you should check out the new Messenger Plus...it rocks! :o %link%

   • LOL this is one of the funniest things i've ever seen! %link%

   • lmao this is so funny %link%

   • you 've got to see this! %link%

%link%
Mentre la wildcard è la seguente:
   • www.asianvideo.be/download.php?**********&do=download

IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: 67.18.50.**********
Porta: 37737
Canale: #.antixnew
Nickname: [XP|5|%stringa di caratteri casuale%]
Password: w000000t

– Questo malware ha la capacità di raccogliere ed inviare le seguenti informazioni:
    • Dimensione della memoria

– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS ICMP
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS TCP
    • Lancia un attacco DdoS UDP
    • Download di file
    • Eseguire file
    • Iniziare procedura di diffusione
    • Terminare il malware
    • Aggiornarsi
    • Visitare un sito web

Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti non vengono modificati.

– L'accesso ai seguenti domini è effettivamente bloccato:
   • avp.com; www.avp.com; ca.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; fastclick.net; ftp.f-secure.com;
      ftp.sophos.com; liveupdate.symantec.com; customer.symantec.com;
      rads.mcafee.com; mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; support.microsoft.com;
      symantec.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; vil.nai.com; viruslist.com; www.viruslist.com;
      www.awaps.net; www.ca.com; www.f-secure.com; www.fastclick.net;
      www.mcafee.com; www.microsoft.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www3.ca.com; www.grisoft.com; grisoft.com; housecall.trendmicro.com;
      trendmicro.com; www.trendmicro.com; www.pandasoftware.com;
      pandasoftware.com; kaspersky.com; www.kaspersky.com; www.zonelabs.com;
      zonelabs.com; antivir.com; antivir.de; www.spywareinfo.com;
      spywareinfo.com; www.merijn.org; merijn.org

L'host del file modificato sarà del tipo:

Processi terminati Lista dei processi che vengono terminati:
   • msconfig.exe; kav.exe; kavsvc.exe; mcvsshld.exe; mcagent.exe;
      mcvsrte.exe; mcshield.exe; mcvsftsn.exe; mcdash.exe; mcvsescn.exe;
      mcinfo.exe; mpfagent.exe; mpftray.exe; mpfservice.exe; mskagent.exe;
      mcmnhdlr.exe; sndsrvc.exe; usrprmpt.exe; ccapp.exe; ccevtmgr.exe;
      spbbcsvc.exe; ccsetmgr.exe; symlcsvc.exe; npfmntor.exe; navapsvc.exe;
      issvc.exe; ccproxy.exe; navapw32.exe; navw32.exe; smc.exe;
      outpost.exe; zlclient.exe; vsmon.exe; isafe.exe; pandaavengine.exe;
      msblast.exe; bbeagle.exe; d3dupdate.exe; sysmonxp.exe; i11r54n4.exe;
      irun4.exe; mscvb32.exe; sysinfo.exe; mwincfg32.exe; wincfg32.exe;
      winsys.exe; zapro.exe; winupd.exe; enterprise.exe; regedit.exe;
      hijackthis.exe; gcasdtserv.exe; gcasserv.exe; pcctlcom.exe;
      tmntsrv.exe; tmproxy.exe; pccguide.exe; tmpfw.exe; pcclient.exe;
      AVGNT.EXE; AVWIN.EXE; taskmgr.exe; AVWUPSRV.EXE; ethereal.exe;
      mcupdmgr.exe; teekids.exe; penis32.exe

I processi che contengono uno dei seguenti “titolo finestra” vengono terminati:
   • ISSVC; services; GuardDogEXE; microsoft antispyware*; hijackthis*;
      wscsvc; kavsvc; McShield; MCVSRte; MpfService; navapsvc; Symantec Core
      LC; ccEvtMgr; SNDSrvc; ccProxy; ccPwdSvc; ccSetMgr; SPBBCSvc; SAVScan;
      SBService; SmcService; OutpostFirewall; vsmon; CAISafe; PcCtlCom;
      TmPfw; tmproxy; Tmntsrv

Varie Mutex:
Crea il seguente Mutex:
• AntiX

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Sergiu Oprea il Mon, 05 Sep 2005 13:01 (GMT+1)
Descrizione aggiornata da Sergiu Oprea il Wed, 07 Sep 2005 15:58 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro