Worm/AutoIt.B - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/AutoIt.B
Scoperto:	20/09/2006
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	181.472 Byte
Somma di controllo MD5:	2c978e0144ec56646a527473b87ebb6b
Versione VDF:	6.36.00.36
Versione IVDF:	6.36.00.46

Generale Metodo di propagazione:
   • Messenger

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Modifica del registro

File Si copia alle seguenti posizioni:
• %WINDIR%\svchost32.exe
• %temporary internet files%\Content.IE5\C5MBSP2B\host[1].jpg

Registro Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.geocities.co.jp/**********"
   • "Window Title"="Viva TermeX !"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="c:\windows\\svchost32.exe"

Viene cambiata la seguente chiave di registro:

Disattiva il Regedit e il Task Manager:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Valore precedente:
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001
   Nuovo valore:
   • "DisableTaskMgr"=%impostazioni definite dell'utente%
   • "DisableRegistryTools"=%impostazioni definite dell'utente%

Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– Yahoo Messenger

A:
Tutti i dati immessi nella lista dei contatti.

Messaggio
Il messaggio inviato sarà tipo uno dei seguenti:

   • the only way to clean some online viruses that may lead you into troubles : %link% <<

   • A new dangerous computer virus that can destroys all your data has just been released . Click here to know how to avoid it : %link% <<

   • have you ever seen such a silly man like this ? %link% =))

   • Just check out my new personal website : %link% C00l !!!

   • Now you can avoid some critical online viruses by updating Windows . Click here to know how to Update your Windows : %link%

   • wtf is this ? Wanna give me a shit ? %link% x-( <<

   • Let's vote for Miss Vietnam - Mai Phuong Thuy - for the upcoming Miss World championship : %link% !!

   • cool girls : %link% :x:x:x:x:x

   • Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: %link%

   • making money online never be easier : %link%

   • di'nh virus ru`i =)) du`ng cai nay ma diet na`y : %link%

   • Download free MP3s : %link% <<

   • ha`i dek chiu dc =)) %link% =)) =))

%link%
Mentre la wildcard è una delle seguenti:
   • http://www.geocities.co.jp/**********
   • http://www.geocities.co.jp/**********

I messaggi ricevuti possono apparire come i seguenti:

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Victor Tone il Mon, 18 Sep 2006 10:26 (GMT+1)
Descrizione aggiornata da Victor Tone il Wed, 20 Sep 2006 14:40 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro