Worm/VB.CA.1 - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/VB.CA.1
Scoperto:	04/08/2006
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Medio-Basso
File statico:	No
Dimensione del file:	~35.000 Byte
Versione VDF:	6.35.01.46
Versione IVDF:	6.35.01.46

Generale Metodo di propagazione:
   • Peer to Peer

Alias:
   • Kaspersky: Email-Worm.Win32.VB.ca
   • Bitdefender: Win32.Worm.P2P.VB.L

Piattaforme / Sistemi operativi:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Modifica del registro

Giusto dopo l'esecuzione, avvia un'applicazione Windows che visualizzerà la seguente finestra:

File Copia se stesso nelle seguenti posizioni. Questi file hanno dei byte casuali aggiunti in coda, pertanto possono differire dall'originale:
   • %SYSDIR%\SVCH0ST.EXE
   • %SYSDIR%\wincirl.com
   • %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Empty.com
   • %home%\Start Menu\Programs\Startup\Empty.com
   • %home%\Application Data\Microsoft\Internet Explorer\Quick Launch\%nome del computer%.exe
   • %TEMPDIR%\%nome del computer%.EXE
   • %unità disco%:\%nome del computer%.EXE
   • %directory di esecuzione del malware%\%nome del computer%.exe

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Microsoft Agent"="%SYSDIR%\SVCH0ST.exe"

Vengono cambiate le seguenti chiavi di registro:

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
   Valore precedente:
   • "load"=""
   Nuovo valore:
   • "load"="%WINDIR%/system/wincirl.com"

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   Valore precedente:
   • "Shell"="Explorer.exe"
   Nuovo valore:
   • "Shell"="Explorer.exe %WINDIR%/system32/SVCH0ST.EXE"

P2P Per “infettare” altri sistemi della comunità della rete Peer to Peer, viene eseguita la seguente azione:

– Cerca la seguente directory:
   • %directory di esecuzione del malware%\%tutte le sottodirectory%

   Se riuscito, il seguente file viene creato:
   • %nome della directory corrente%.exe

   Questi file sono copie del malware stesso.

Processi terminati I processi che contengono uno dei seguenti “titolo finestra” vengono terminati:
• task manager; registry; system restore; folder options; configuration;
cmd.exe; virus; yahoo; system32; utility; format

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• PECompact 2

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Teodor Onisor il Wed, 09 Aug 2006 12:21 (GMT+1)
Descrizione aggiornata da Teodor Onisor il Thu, 10 Aug 2006 11:51 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro