Worm/Stration.C - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Stration.C
Scoperto:	19/09/2006
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	No
Dimensione del file:	~115.000 Byte
Versione VDF:	6.36.00.33
Versione IVDF:	6.36.00.43

Generale Metodo di propagazione:
   • Email

Alias:
   • Kaspersky: Email-Worm.Win32.Warezov.at
   • Sophos: W32/Stratio-AN

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file
   • Duplica file “maligni”
   • Utilizza un proprio motore SMTP per l'invio di email
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

Giusto dopo l'esecuzione, avvia un'applicazione Windows che visualizzerà la seguente finestra:

File Si copia alla seguente posizione:
   • %WINDIR%\t2serv.exe

Vengono creati i seguenti file:

– File “non maligni”:
   • %directory di esecuzione del malware%\10.tmp
   • %WINDIR%\tserv.s

– Un file che contiene gli indirizzi email recuperati:
   • %WINDIR%\t2serv.wax

– %SYSDIR%\cscdgcde.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\esenmqtr.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\esenprfl.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %SYSDIR%\e1.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.
– %WINDIR%\t2serv.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware.

Prova a scaricare dei file:

– La posizione è la seguente:
   • http://www3.vertionkdaseliplim.com/chr/grv/**********
Viene salvato in locale sotto: %TEMPDIR%\~%numero%.tmp Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware.

– La posizione è la seguente:
   • http://www3.vertionkdaseliplim.com/chr/grv/**********
Viene salvato in locale sotto: %TEMPDIR%\~%numero%.tmp Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Al momento dell'analisi questo file non era più disponibile.

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • t2serv = %WINDIR%\t2serv.exe

Viene cambiata la seguente chiave di registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
   Valore precedente:
   • AppInit_DLLs =
   Nuovo valore:
   • AppInit_DLLs = cscdgcde.dll e1.sll

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:

Da:
Indirizzi generati. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria ”infezione” o addirittura potrebbe non essere “infetto”. In più si potrebbero ricevere email bounce che diranno che si è “infetti”. Questo potrebbe comunque non essere il caso.

A:
– Indirizzi email trovati in specifici file sul sistema.
– Indirizzi email raccolti da WAB (Windows Address Book)

Design dell'email:

Da: sec@%dominio del destinatario%
Oggetto: Mail server report.
Corpo della mail:
   • Mail server report.
     Our firewall determined the e-mails containing worm copies are being sent from your computer.
     Nowadays it happens from many computers, because this is a new virus type (Network Worms).
     Using the new bug in the Windows, these viruses infect the computer unnoticeably.
     After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses
     Please install updates for worm elimination and your computer restoring.
     Best regards,
     Customers support service
Allegato:
   • Update-KB%numero%-x86.exe

Da: secur@%dominio del destinatario%
Oggetto: Mail server report.
Corpo della mail:
   • Mail server report.
     Our firewall determined the e-mails containing worm copies are being sent from your computer.
     Nowadays it happens from many computers, because this is a new virus type (Network Worms).
     Using the new bug in the Windows, these viruses infect the computer unnoticeably.
     After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses
     Please install updates for worm elimination and your computer restoring.
     Best regards,
     Customers support service
Allegato:
   • Update-KB%numero%-x86.exe

Da: serv@%dominio del destinatario%
Oggetto: Mail server report.
Corpo della mail:
   • Mail server report.
     Our firewall determined the e-mails containing worm copies are being sent from your computer.
     Nowadays it happens from many computers, because this is a new virus type (Network Worms).
     Using the new bug in the Windows, these viruses infect the computer unnoticeably.
     After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses
     Please install updates for worm elimination and your computer restoring.
     Best regards,
     Customers support service
Allegato:
   • Update-KB%numero%-x86.exe

Oggetto:
Uno dei seguenti:
   • Error
   • Good day
   • hello
   • Mail Delivery System
   • Mail Transaction Failed
   • picture
   • Server Report
   • Status
   • test

Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:
   • Mail transaction failed. Partial message is available.
   • The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment
   • The message contains Unicode characters and has been sent as a binary attachment

File allegato:
Il nome del file allegato viene estrapolato dai seguenti:

– Inizia con uno dei seguenti:
   • body
   • data
   • doc
   • docs
   • document
   • file
   • message
   • readme
   • test
   • text

    A volte seguito da una delle seguenti estensioni fasulle:
   • dat
   • elm
   • log
   • msg
   • txt

    L'estensione del file è una delle seguenti:
   • bat
   • cmd
   • exe
   • pif
   • scr

L'allegato è una copia del malware descritto qui: Worm/Warezov.DLL.C

L'email può presentarsi come una delle seguenti:

Invio di messaggi Cerca indirizzi:
Cerca il seguente file per gli indirizzi email:
• %ogni file *.htm%

Backdoor Contatta il server:
Tutti i seguenti:
• http://www3.vertionkdaseliplim.com/cgi-bin/**********
• http://www3.vertionkdaseliplim.com/cgi-bin/**********

Come risultato può inviare informazioni e potrebbe venire fornito il controllo remoto. Inoltre periodicamente ripete la connessione. Questo è fatto tramite i metodi HTTP GET e POST, utilizzando uno script PHP.

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Mon, 25 Sep 2006 16:28 (GMT+1)
Descrizione aggiornata da Andrei Gherman il Fri, 20 Oct 2006 08:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro