Worm/TermX.A - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/TermX.A
Scoperto:	14/05/2007
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	186.166 Byte
Somma di controllo MD5:	09b5dc62a921a88153cd34b08716b479
Versione VDF:	6.38.01.136
Versione IVDF:	6.38.01.142

Generale Metodo di propagazione:
   • Messenger

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica un file “maligno”
   • Modifica del registro

File Si copia alla seguente posizione:
• %WINDIR%\svhost32.exe

Prova a scaricare un file:

– La posizione è la seguente:
• http://bestwish.info**********
Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Al momento dell'analisi era una versione aggiornata del malware stesso.

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="%WINDIR%\svhost32.exe"

Vengono aggiunte le seguenti chiavi di registro:

– [HKCU\Software\Google\GoogleToolbarNotifier]
   • "KeepDS"=dword:00000000
   • "ShowTrayIcon"=dword:00000000

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://bestwish.info/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://bestwish.info/**********"

Vengono cambiate le seguenti chiavi di registro:

Pagina iniziale di Internet Explorer:
– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Nuovo valore:
   • "Search Page"="http://bestwish.info/**********"
   • "Start Page"="http://bestwish.info/**********"

Disattiva il Regedit e il Task Manager:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Nuovo valore:
   • "DisableRegistryTools"=dword:00000001
   • "DisableTaskMgr"=dword:00000001

Varie opzioni di Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Nuovo valore:
   • "NoRun"=dword:00000001

– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
   Nuovo valore:
   • "DisableConfig"="1"

– [HKCU\Software\Microsoft\Internet Explorer\SearchUrl]
   Nuovo valore:
   • "(Default)"="http://bestwish.info/**********"

– [HKCU\Software\Microsoft\Search Assistant]
   Nuovo valore:
   • "DefaultSearchURL"="http://bestwish.info/**********"

Messenger Si diffonde via Messenger. Le caratteristiche sono descritte sotto:

– AIM Messenger
– ICQ Messenger
– MSN Messenger
– Yahoo Messenger
– Windows Messenger

A:
Tutti i dati immessi nella lista dei contatti.

Messaggio
Il messaggio inviato sarà tipo uno dei seguenti:

   • c’est ma carte de voeux de Noel que j’ai fait seulement pour toi http://bestwish.info/********** ^_^

   • Microsoft donne 2007 copies gratuits de Windows Vista pour 2007 premieres inscriptions : http://bestwish.info/********** >:D< est envoyé par %nome utente corrente% pas de virus

   • vote pour notre Miss de beauté aujourd’hui :x " http://bestwish.info/********** :x:x:x:x:x est envoyé par %nome utente corrente% pas de virus

   • the only way to clean some online viruses that may lead you into troubles : http://bestwish.info/********** << est envoyé par %nome utente corrente% pas de virus

   • Joyeux Noel et Bonne année !!! http://bestwish.info/********** <<

   • l’entrainneur de Chelsea est gravement blessé par Gallad http://bestwish.info/********** est envoyé par %nome utente corrente% pas de virus

   • Attention!!! Il y aura un tremblement de terre ce soir : http://bestwish.info/********** est envoyé par %nome utente corrente% pas de virus

   • J’ai fait 10 cadeaux pour les 10 premieres personnes qui commentent sur mon site web : http://bestwish.info/********** c0ol !!! est envoyé par %nome utente corrente% pas de virus

   • you are virus infected . Use this tool to remove viruses from your PC : http://bestwish.info/********** << est envoyé par %nome utente corrente% pas de virus

   • Enculé !!! http://bestwish.info/********** X-(

   • Osama Bin Laden est arreté http://bestwish.info/********** est envoyé par %nome utente corrente% pas de virus

   • Creer les bombs hyper forts avec Whisky, Coke et Mentos http://bestwish.info/********** est envoyé par %nome utente corrente% pas de virus

   • J'ai gagne au LOTO: http://bestwish.info/********** Viens feter chez moi !!!

Il messaggio ricevuto può apparire come il seguente:

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Ernest Szocs il Mon, 14 May 2007 14:38 (GMT+1)
Descrizione aggiornata da Ernest Szocs il Tue, 15 May 2007 12:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro