Worm/Alcra.B - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Alcra.B
Scoperto:	28/06/2005
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	2.379.776 Byte
Somma di controllo MD5:	b70A0Bd6e45135566a7aa9faa196e615
Versione VDF:	6.31.00.118

Generale Metodo di propagazione:
   • Peer to Peer

Alias:
   • Symantec: W32.Alcra.B
   • Mcafee: W32/Alcan.worm!p2p
   • Kaspersky: Email-Worm.Win32.VB.an
   • TrendMicro: WORM_VB.AS
   • F-Secure: Email-Worm.Win32.VB.an
   • Sophos: W32/Alcra-B
   • Panda: W32/Alcan.A.worm
   • VirusBuster: Worm.VB.COO!AU
   • Bitdefender: Win32.Vb.AN@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file
   • Duplica un file
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro

Giusto dopo l'esecuzione vengono visualizzate le seguenti informazioni:

   %risorse internet utilizzate dal malware%
    • katz.ws
    • www.phazeddl.com

File Si copia alle seguenti posizioni:
   • %PROGRAM FILES%\winupdates\winupdates.exe
   • %PROGRAM FILES%\winupdates\a.tmp

Copia se stesso dentro un archivio nella seguente posizione:
   • %PROGRAM FILES%\winupdates\a.zip

Crea la seguente directory:
   • %home%\Complete

Una sezione viene aggiunta a un file.
– A: %home%\.limewire\limewire.props Con i seguenti contenuti:
   • DIRECTORIES_TO_SEARCH_FOR_FILES = %home%\Complete

Vengono creati i seguenti file:

– File “non maligno”:
   • %SYSDIR%\bszip.dll

– %SYSDIR%\cmd.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\netstat.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\ping.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\regedit.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\taskkil.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\tasklist.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

– %SYSDIR%\tracert.com Questo è un file di testo “non maligno” con il seguente contenuto:
   • MZ

Prova a scaricare dei file:

– Le posizioni sono le seguenti:
   • members.chello.nl/p.litjens1/**********
   • members.chello.nl/r.elswyk/**********
   • members.chello.nl/e.figueiredorosa/**********
   • members.chello.be/catherine.bali1/**********
Viene salvato in locale sotto: C:\a.tmp Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Al momento dell'analisi questo file non era più disponibile.

– Le posizioni sono le seguenti:
   • members.chello.nl/p.litjens1/**********
   • members.chello.nl/r.elswyk/**********
   • members.chello.nl/e.figueiredorosa/**********
   • members.chello.be/catherine.bali1/**********
Viene salvato in locale sotto: C:\b.tmp Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Al momento dell'analisi questo file non era più disponibile.

Prova ad eseguire il seguente file:

– Nome del file:
   • %PROGRAM FILES%\LimwWire\LimeWire.exe

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• "winupdates" = "%PROGRAM FILES%\winupdates\winupdates.exe /auto"

P2P Per “infettare” altri sistemi della comunità della rete Peer to Peer, viene eseguita la seguente azione:

– Cerca la seguente directory:
   • %home%\Complete\

   Se riuscito, il seguente file viene creato:
   • %recuperato da internet%.zip

   L'archivio contiene al suo interno una copia del malware.

Processi terminati Non permette l'esecuzione di processi che contengono la seguente stringa nel nome file:
• %SYSDIR%\taskmgr32.exe

Varie Verifica la presenza di una connessione ad internet contattando il seguente sito web:
• windowsupdate.microsoft.com

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Irina Boldea il Tue, 18 Apr 2006 12:20 (GMT+1)
Descrizione aggiornata da Irina Boldea il Fri, 21 Apr 2006 08:33 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro