Worm/Zafi.E - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Zafi.E
Scoperto:	26/09/2005
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Medio-Basso
Potenziale di propagazione:	Medio-Alto
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	15.367 Byte
Somma di controllo MD5:	0DA379936D9B8EE36EE77CBC3B9C74B7
Versione VDF:	6.32.0.41

Generale Metodi di propagazione:
   • Email
   • Peer to Peer

Alias:
   • Kaspersky: Email-Worm.Win32.Zafi.e
   • TrendMicro: WORM_ZAFI.E
   • Bitdefender: Win32.Zafi.E@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Utilizza un proprio motore SMTP per l'invio di email
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro

Giusto dopo l'esecuzione viene visualizzata la seguente informazione:

File Si copia alle seguenti posizioni:
   • %SYSDIR%\Symantec_Update-%vari numeri casuali da 0 a 9%.exe
   • %SYSDIR%\%vari numeri casuali da 0 a 9%Z.dll

Cancella la copia di se stesso eseguita inizialmente.

Vengono creati i seguenti file:

– Un file che contiene gli indirizzi email recuperati:
   • %SYSDIR%\%vari numeri casuali da 0 a 9%Z.dll

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "__ZF5"="%SYSDIR%\Symantec_Update-%vari numeri casuali da 0 a 9%.exe"

Viene aggiunta la seguente chiave di registro:

– [HKLM\SOFTWARE\Microsoft\__ZF5]
   • "%stringa casuale di due caratteri%"=dword:00000100
   • "%stringa casuale di due caratteri%"="%indirizzo email del mittente%"
   • "%stringa casuale di due caratteri%"="%Nome utente dell'account email% "
   • "%stringa casuale di due caratteri%"="%SYSDIR%\%vari numeri casuali da 0 a 9%Z.dll"
   • "%stringa casuale di due caratteri%"="%eseguibile di Windows casuale%"

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:
La lingua con cui la mail viene spedita dipende dal dominio di primo livello.

Da:
L'indirizzo del mittente è falso.

A:
– Indirizzi email trovati in specifici file sul sistema.

Oggetto:
Uno dei seguenti:
   • Star Wars Greeting
   • MSN Postcard
   • Greeting from neptun.ru
   • MSN.RU Postcard
   • Una Star Wars cartolina per te da regione.it
   • Cartolina Digitale
   • Une Star Wars carte pour vous
   • Confidental
   • e-udvozlet
   • megasztar
   • e-pohlednice
   • Elektronickou Star Wars
   • e-postkarte
   • Star Wars
   • Electronisch Star Wars
   • E-kaartje
   • Has recibido una tarjeta en neptun.mx
   • e-tarjeta
   • Star Wars
   • e-kort

Corpo dell'email:
– Contiene codice HTML.
Il corpo dell’email è come uno dei seguenti:

   • STAR WARS

Seguito da uno dei seguenti:

   • Hi there

     There's a star wars postcard waiting for you, from %Nome utente dell'account email%.
     Just click the link below to pick up your personal message:
     %nome file dell'allegato senza estensione%.jpg

     (If you cannot view the image by clicking on the link, copy and paste
     the attachment picture into your browser).

     Best regards: http://www.jedinet.com

   • Здравствуйте,

     Вам пришла открытка!
     Вы можете получить ее по адресу
     %nome file dell'allegato senza estensione%.jpg

     Код для получения открытки 10025412 Открытка может быть получена любым графическим браузером в течение 1 месяца с момента получения этого сообщения.

   • Ciao

     %Nome utente dell'account email% ti ha inviato una cartolina digitale dal nostro sito.
     Per visualizzare la cartolina è sufficiente cliccare questo link:
     %nome file dell'allegato senza estensione%.jpg

     Nel caso dovessi avere problemi nel visualizzare la tua cartolina, può
     essere che i giorni a disposizione siano scaduti, è comunque possibile
     fare una prova a questo indirizzo: www.regione.it

   • Bonjour

     %Nome utente dell'account email% a crée une 'star wars' carte specialement pour vous, et vous l'a envoyée le %data corrente%.
     La carte sera sauvgardée pendant 10 jours. Veuillez la recupérer dans les 10 jours avant qu'elle expire.
     Cliquer sur ce lien pour voir votre e-carte:
     %nome file dell'allegato senza estensione%.jpg

     Alternativement vous pouvez lui envoyer une autre carte gratuitement sur www.smartweb.fr

   • Kedves Felhasználó

     %Nome utente dell'account email% elektronikus üdvözlõlapot küldött Önnek!
     Megtekintéséhez kattintson a mellékelt kép hivatkozására, vagy másolja be
     a böngészõ (Internet Explorer, Netscape Navigator, Mozilla, stb.) címsorába!
     %nome file dell'allegato senza estensione%.jpg

     A már kézbesített lapokat 3 hétig õrizzük meg!
     http://www.tv2.hu

   • Dobrý den

     Dostáváte tento email, protoe Vám %Nome utente dell'account email%,
     poslal(a) elektronickou `star wars` pohlednici. Vae pohlednice je uloena na
     serveru centrum.cz a mùete si ji vyzvednout na adrese:
     %nome file dell'allegato senza estensione%.jpg

     Tuto pohlednici budeme archivovat po dobu 30-ti dnù. Doufáme, e se Vám
     bude líbit. :-)

     Nejvetsi vyber plakatu na http://www.centrum.cz

   • Hallo

     %Nome utente dell'account email% hat Ihnen eine Star Wars Postkarte geschickt!
     Ihre Postkarte wurde am %date% versendet und ist für 10 Tage gespeichert.
     Sie können Sie unter folgender URL ansehen:
     %nome file dell'allegato senza estensione%.jpg

     Mit freundlichen Grüßen,

     Free eCards - Grusskarte senden - send a free eCard
     Powered by http://www.deutschepost.de

   • Hallo

     Je hebt een electronisch kaartje ontvangen van %Nome utente dell'account email%
     Je kunt je persoonlijke kaartje bekijken door naar het
     volgende internet adreste gaan:
     %nome file dell'allegato senza estensione%.jpg

     We hebben vele 100-en kaartjes in allerlei categoriën.
     Natuurlijk kan ook jij een kaartje sturen, ga naar
     http://www.fonztv.nl

   • ¡Hola

     Hay una tarjeta disponible en Neptun.mx de parte de %Nome utente dell'account email%.
     Para verla, hacer click en el siguiente enlace:
     %nome file dell'allegato senza estensione%.jpg

     Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
     en todo momento durante la vigencia de tu membresía; si no lo eres,
     estará disponible dos semanas a partir de la fecha en que la envíes.

   • Hello

     %Nome utente dell'account email% har send eit kort til deg.
     Du kan henta kortet ditt på
     %nome file dell'allegato senza estensione%.jpg

     og skriva inn kortnummer 214 og passord 5016.

Seguito dal seguente:

   • ImageSize: 15Kb V
     Virus & Spam Scan: V

File allegato:
Il nome del file allegato viene estrapolato dai seguenti:

– Inizia con uno dei seguenti:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort
   • dscn
   • post

Seguito da uno dei seguenti:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort

    Seguito da uno dei seguenti:
   • show%stringa casuale di quattro caratteri%
   • index%stringa casuale di quattro caratteri%
   • imag%stringa casuale di quattro caratteri%
   • wars%stringa casuale di quattro caratteri%
   • pict%stringa casuale di quattro caratteri%
   • dscn%stringa casuale di quattro caratteri%
   • post%stringa casuale di quattro caratteri%

    L'estensione del file è una delle seguenti:
   • .zip

Qui ci sono alcuni esempi di come il nome del file allegato potrebbe presentarsi:
   • lnk.cart.index1650.zip
   • galerij.show.wars3765.zip
   • pict.index.post4325.zip
   • lnk.grusskarte.pict8074.zip

L'allegato è una copia del malware stesso.

L'email può presentarsi come una delle seguenti:

Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • .htm; .wab; .txt; .dbx; .tbb; .asp; .php; .sht; .adb; .mbx; .eml;
      .pmr; .fpt; .inb

Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • google; sale; service; info; help; admi; webm; micro; msn; hotm;
      suppor; soft.; zonela

Aggiunte alla stringa MX:
Per ottenere l'indirizzo IP del mail server, ha la capacità di aggiungere in testa al nome di dominio le seguenti stringhe:
   • mail.; smtp.; mx.; fmx.; matav-1.; gold.; matav-2.; domser.; suli2.;
      matav-4.; gemini.; goliat2.; webmail.; postman.; huasmtp01.;
      mailin02.sul.; mail4u.; Mmx-ha01.web.; Mmx2.mail.; smtp-in.;
      Mmail.wxs.; box-05.; mail-mx-00.; smtp01.; smtp03.; pop.; Mmx.is.;
      debian-mx1.; mrelay1-2.; smtpB1.; maury.; newken.; blackhole.; Mmail.;
      mail-mx-3.; mxrm.; mbox.; pweb.; mail-kr3.; mail-kr4.; mailserver.;
      mx-a.mail.; mailin-01.mx.; mxs.; office.; cscmail.; Mrelay2.

P2P Per “infettare” altri sistemi della comunità della rete Peer to Peer, viene eseguita la seguente azione:   Cerca le directory che contengono una delle seguenti sottostringhe:
   • "share"
   • "upload"
   • "music"
   • "startup"

   Se riuscito, i seguenti file vengono creati:
   • Adobe Acrobat 8.0.exe
   • Divx Player 7.0.exe

Processi terminati Lista dei processi che vengono terminati:
   • nmain.exe; Luall.exe; nod32.exe; gcasDtServ.exe; nod32krn.exe;
      nod32kui.exe; AVLTMAIN.EXE; MRT.exe; gcasServ.exe; avginet.exe;
      inetupd.exe; fpavupdm.exe; Updater.exe; pcclient.exe; F-StopW.exe;
      drwebupw.exe; QH32.EXE; QHM32.EXE; LIVEUP.exe; savmain.exe;
      savprogess.exe; nod32.exe; bdmcon.exe; bdlite.exe; McUpdate.exe;
      mcmnhdlr.exe; VBInstTmp.exe; vbcmserv.exe; vbcons.exe; fspex.exe

Varie Verifica la presenza di una connessione ad internet contattando il seguente sito web:
• microsoft.com

Mutex:
Crea il seguente Mutex:
• __ZF5

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Mon, 26 Sep 2005 14:56 (GMT+1)
Descrizione aggiornata da Andrei Ivanes il Mon, 26 Sep 2005 17:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro