Worm/Locksky.T - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Locksky.T
Scoperto:	09/01/2006
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	28.866 Byte
Somma di controllo MD5:	b7798121979f0840655e4437e2b3f0bb
Versione VDF:	6.33.00.102

Generale Metodo di propagazione:
   • Email

Alias:
   • Symantec: W32.Looksky.G@mm
   • Kaspersky: Email-Worm.Win32.Locksky.t
   • TrendMicro: WORM_LOCKSKY.AB
   • F-Secure: Email-Worm.Win32.Locksky.t
   • Sophos: W32/Loosky-DR
   • Panda: W32/Locksky.AL.worm
   • VirusBuster: I-Worm.Locksky.AD
   • Bitdefender: Win32.Locksky.Z@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Duplica file “maligni”
   • Registra le battute di tastiera
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

File Si copia alle seguenti posizioni:
   • %WINDIR%\sachostx.exe
   • %directory di esecuzione del malware%\temp.bak

Cancella il seguente file:
   • %SYSDIR%\hard.lck

Vengono creati i seguenti file:

– %SYSDIR%\msvcrl.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Locksky.P.9

– %SYSDIR%\sachostp.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Locksky.V.1.B

– %SYSDIR%\sachostc.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: BDS/Locksky.K

– %SYSDIR%\sachostw.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Locksky.T.6

– %SYSDIR%\sachosts.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Locksky.V.1.C

Prova a scaricare un file:

– Le posizioni sono le seguenti:
   • http://proxy4u.ws:8080/**********
   • http://proxy4u.ws:8080/**********
   • http://usproxy2u.ws:8080/**********
   • http://usproxy2u.ws:8080/**********
Al momento dell'analisi questo file non era più disponibile.

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "HostSrv" = "%WINDIR%\sachostx.exe"

Crea la seguente riga con lo scopo di bypassare il firewall di Windows XP:

– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%directory di esecuzione del malware%\%file eseguiti% "="%directory di esecuzione del malware%\ %file eseguiti% :*:Enabled:enable"
   • "%SYSDIR%\sachostw.exe"="%SYSDIR%\sachostw.exe:*:Enabled:enable"
   • "%SYSDIR%\sachostc.exe"="%SYSDIR%\sachostc.exe:*:Enabled:enable"
   • "%SYSDIR%\sachosts.exe"="%SYSDIR%\sachosts.exe:*:Enabled:enable"

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:

Da:
L'indirizzo del mittente è falso.

A:
– Indirizzi email trovati in specifici file sul sistema.
– Indirizzi email raccolti da WAB (Windows Address Book)

Oggetto:
Il seguente:
   • Your mail Account is Suspended

Corpo dell'email:
Il corpo dell’email è come il seguente:

   • We regret to inform you that your account has been suspended due to the violation of our site policy, more info is attached.

File allegato:
Il nome del file allegato è uno dei seguenti:
   • acc_info9.exe
   • ebay_info.exe
   • acc_inf19.exe

L'allegato è una copia del malware stesso.

Invio di messaggi Cerca indirizzi:
Cerca il seguente file per gli indirizzi email:
• htm

Backdoor Le seguenti porte sono aperte:

– %SYSDIR%\sachosts.exe su una porta TCP casuale con lo scopo di procurarsi un server HTTP.
– %SYSDIR%\sachostc.exe su una porta TCP casuale con lo scopo di procurarsi un server proxy.

Contatta il server:
Il seguente:
   • http://proxy4u.ws/index.php?

Come risultato può inviare alcune informazioni.

Invia informazioni riguardanti:
    • Indirizzo IP
    • Stato corrente del malware
    • Porta aperta

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\msvcrl.dll

Nome del processo:
• %tutti i processi in esecuzione%

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Irina Boldea il Tue, 18 Apr 2006 15:29 (GMT+1)
Descrizione aggiornata da Irina Boldea il Thu, 20 Apr 2006 08:19 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro