Worm/Wigon.AB - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Wigon.AB
Scoperto:	15/08/2007
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Medio-Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Basso
File statico:	Si
Dimensione del file:	20.992 Byte
Somma di controllo MD5:	570C666DCD49D81FEB036C14A3DC99BD
Versione VDF:	6.39.1.5
Versione IVDF:	6.39.1.5

Generale Metodo di propagazione:
   • Email

Alias:
   • Kaspersky: Trojan-Downloader.Win32.Agent.brk
   • F-Secure: Trojan-Downloader.Win32.Agent.brk
   • Eset: a variant of Win32/TrojanDownloader.Agent.BRK

Le varianti non funzionanti possono essere identificate come:
   • Worm/Wigon.AB

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica un file “maligno”
   • Duplica file “maligni”
   • Utilizza un proprio motore SMTP per l'invio di email

File Crea la seguente directory:
• %WINDIR%\temp

Sovrascrive un file.
– %SYSDIR%\drivers\ip6fw.sys

Vengono creati i seguenti file:

– %SYSDIR%\drivers\runtime2.sys Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: RKIT/Posh.A

– %TEMPDIR%\startdrv.exe Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Wigon.A

Prova a scaricare un file:

– La posizione è la seguente:
• http://66.246.252.215/**********
Viene salvato in locale sotto: %TEMPDIR%\%vari numeri casuali da 0 a 9%8.exe Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Wigon.AB

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"=%TEMPDIR%\startdrv.exe"

Vengono aggiunte le seguenti chiavi di registro:

– HKLM\SYSTEM\CurrentControlSet\Services\ip6fw\Enum
   • "0"="Root\\LEGACY_IP6FW\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000]
   • "Service"="ip6fw"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="IPv6 Windows Firewall Driver"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ip6fw"

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:

Da:
L'indirizzo del mittente è falso.
Indirizzi recuperati da internet. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria ”infezione” o addirittura potrebbe non essere “infetto”. In più si potrebbero ricevere email bounce che diranno che si è “infetti”. Questo potrebbe comunque non essere il caso.
Il mittente dell'email è uno dei seguenti:
   • "Abel Goldberg"
   • "Adrian Hobbs"
   • "Andrea Feldman"
   • "Angelo Wilkerson"
   • "Ariel Peck"
   • "Bradley Buckley"
   • "Brent Reeder"
   • "Casey Langford"
   • "Casey Meade"
   • "Cecil Stapleton"
   • "Claudette Waters"
   • "Claudine Conway"
   • "Dallas Doss"
   • "Darnell Kramer"
   • "Dewayne Meyers"
   • "Dion Dillard"
   • "Edward Blanchard"
   • "Gwen Lynn"
   • "Hazel French"
   • "Henry Mcintyre"
   • "Hershel Timmons"
   • "Ines Connolly"
   • "Jared Day"
   • "Joshua Wilkerson"
   • "Kaitlin Henson"
   • "Katheryn Amos"
   • "Kip Starks"
   • "Krystal Hand"
   • "Lamont Calloway"
   • "Lenard Clark"
   • "Louis Kane"
   • "Margaret Skinner"
   • "Michael Mcnamara"
   • "Myra Crockett"
   • "Noe Sweeney"
   • "Polly Proctor"
   • "Quinton Wu"
   • "Randal Zamora"
   • "Rena Russo"
   • "Rene May"
   • "Roderick Cornell"
   • "Rudy Kaufman"
   • "Russ Calvert"
   • "Sergio Bolden"
   • "Sherman Crowe"
   • "Sherry Proctor"
   • "Susana Short"
   • "Tamika Buck"
   • "Tanner Payne"
   • "Tanner Reece"
   • "Trina Ortega"
   • "Truman Silva"
   • "Twila Short"
   • "Victoria Bridges"
   • "Virgil Dahl"
   • "Will Bowman"
   • "Wilson Dukes"
   • "Winifred Hairston"
   • "Winston Earl"
   • "Abby William"
   • "Abdul Dawkins"
   • "Abe Watson"
   • "Albert Dobson"
   • "Alberto Mcqueen"
   • "Alejandra Haines"
   • "Amelia Bernard"
   • "Amie Dove"
   • "Andrea Guerra"
   • "Angelique Haas"
   • "Ann Crump"
   • "Anna Heath"
   • "Annie Porter"
   • "Belinda Wolff"
   • "Benita Hopkins"
   • "Bennie Mcintyre"
   • "Beverly Snider"
   • "Blanca Prince"
   • "Bradley Cummins"
   • "Bradly Kaiser"
   • "Brady Dukes"
   • "Brenda Atwood"
   • "Brent Johns"
   • "Brice Brunson"
   • "Bridgett Henderson"
   • "Britney Vincent"
   • "Bruno Simons"
   • "Buford Bonds"
   • "Burton Lovett"
   • "Camille Mayberry"
   • "Carmen Bush"
   • "Cathryn Best"
   • "Celina Herbert"
   • "Chance Whitman"
   • "Charity Darling"
   • "Charlie Bonilla"
   • "Clara Meza"
   • "Claudia Fernandez"
   • "Claudio Frazier"
   • "Coleman Souza"
   • "Connie Alexander"
   • "Constance Kirby"
   • "Craig Washburn"
   • "Cristina Vincent"
   • "Damon Massey"
   • "Dante Dougherty"
   • "Darin Lancaster"
   • "Daryl Root"
   • "Deann Harding"
   • "Derick Wilder"
   • "Dion Gill"
   • "Dorothea Fleming"
   • "Dwayne Snow"
   • "Edith Burton"
   • "Eduardo Macdonald"
   • "Edwardo Brunson"
   • "Efren Walden"
   • "Eli Finn"
   • "Elise Quinones"
   • "Elnora Wagner"
   • "Elsie Fischer"
   • "Erin Carlisle"
   • "Ernestine Novak"
   • "Ernie Dickey"
   • "Errol Kent"
   • "Eugenia Snyder"
   • "Evangelina Nguyen"
   • "Evangelina Perkins"
   • "Forest Kinney"
   • "Frieda Guidry"
   • "Fritz Reeves"
   • "Gale Waters"
   • "Gavin Barry"
   • "Gayle Otto"
   • "Gina Lundy"
   • "Glen Valencia"
   • "Glenda Bartley"
   • "Glenn Matthews"
   • "Gregory Sosa"
   • "Gretchen Hodge"
   • "Gustavo Woodson"
   • "Guy Morin"
   • "Harry Dean"
   • "Henrietta Rucker"
   • "Hunter Pickens"
   • "Ilene Souza"
   • "Israel Duarte"
   • "Jamal Ortega"
   • "Jamie Sykes"
   • "Jan Gamble"
   • "Jayson Wiseman"
   • "Jeff Steele"
   • "Jeffery Steiner"
   • "Jenna Rodgers"
   • "Jim Perkins"
   • "Jo Reese"
   • "Joan Roper"
   • "Jody Holcomb"
   • "John Hays"
   • "Johnathan Christensen"
   • "Johnie Bruno"
   • "Joni Vera"
   • "Josephine Woodward"
   • "Jules Ward"
   • "Juliet Maddox"
   • "Justine Gipson"
   • "Karla Robbins"
   • "Kate Carrillo"
   • "Kent Albert"
   • "Kermit Gunter"
   • "Krystal Jensen"
   • "Lacy Boswell"
   • "Larry Davila"
   • "Laurence Babb"
   • "Laverne Middleton"
   • "Leanna Spears"
   • "Leon Alexander"
   • "Les Stanley"
   • "Lora Connor"
   • "Lorie Buckner"
   • "Lorrie Herring"
   • "Luann Tapia"
   • "Lucile Beck"
   • "Lupe Terrell"
   • "Mable Cortez"
   • "Mac Floyd"
   • "Mack Hutchins"
   • "Malcolm Nava"
   • "Mari Rich"
   • "Mariano Herring"
   • "Marie Boucher"
   • "Marty Earl"
   • "Maryanne Cortes"
   • "Melvin Goodwin"
   • "Merrill Gilbert"
   • "Mickey Guthrie"
   • "Misty Flowers"
   • "Moises Clemons"
   • "Mollie Brooks"
   • "Monica Davison"
   • "Myrtle Gentry"
   • "Nadine Odom"
   • "Neal Monroe"
   • "Noel Aragon"
   • "Olive Richards"
   • "Oliver Adams"
   • "Otis Smith"
   • "Patrice Malone"
   • "Rachelle Garland"
   • "Randal Yu"
   • "Richard Cook"
   • "Roberta Bright"
   • "Ronny Johns"
   • "Roosevelt Salgado"
   • "Rosario Daly"
   • "Roseann Browning"
   • "Rosemarie Poole"
   • "Roy Shipley"
   • "Rubin Webb"
   • "Rupert Conrad"
   • "Russell Chacon"
   • "Sanford Nicholson"
   • "Sarah Gipson"
   • "Scotty Bartley"
   • "Sebastian Reeves"
   • "Shane Tipton"
   • "Shauna Prather"
   • "Sheila Coleman"
   • "Shelia Haas"
   • "Shirley Hedrick"
   • "Sofia Lutz"
   • "Stefan Wilkinson"
   • "Stephan Wiseman"
   • "Susie Carroll"
   • "Sylvester Carson"
   • "Tad Melendez"
   • "Tameka Richardson"
   • "Tammy Sheehan"
   • "Tania Kaiser"
   • "Tanisha Lockhart"
   • "Tara Golden"
   • "Tara Wallace"
   • "Terrie Denton"
   • "Therese Sorensen"
   • "Tia Delarosa"
   • "Tomas Conner"
   • "Tommie Nguyen"
   • "Traci Collier"
   • "Trinidad Akins"
   • "Tyson Thomson"
   • "Van French"
   • "Vicky Blackmon"
   • "Vito Frost"
   • "Wade Arellano"
   • "Warren Bloom"
   • "Willie Vickers"
   • "Young Calhoun"

A:
– Indirizzi recuperati da internet.

Oggetto:
Uno dei seguenti:
   • Here is it
   • Hot game
   • Hot pictures
   • Something hot
   • You ask me about this game, Here is it

Il corpo dell’email è come uno dei seguenti:

   • %sostituzione 1%, %sostituzione 2%!
     Funny game. %sostituzione 3% fucks %sostituzione 4%... In your attachemnt.



   • %sostituzione 1%, %sostituzione 2%!
     Amusing game. %sostituzione 3% fucks %sostituzione 4%... In your attachemnt.

Seguito da uno dei seguenti:

   • Bye.

   • Best Regards.

   • Thanks.

   • Regards.

%sostituzione 1% può essere esteso ad uno dei seguenti:
   • Hi
   • Good morning
   • Good afternoon
   • Good evening
   • Good Day
   • Hello
   • Helo

%sostituzione 2% può essere esteso ad uno dei seguenti:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%sostituzione 3% può essere esteso ad uno dei seguenti:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%sostituzione 4% può essere esteso ad uno dei seguenti:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

File allegato:
Il nome del file allegato è:
   • isit.zip

L'allegato è un archivio che contiene una copia del malware stesso.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Lutz Koch il Wed, 15 Aug 2007 13:47 (GMT+1)
Descrizione aggiornata da Lutz Koch il Wed, 15 Aug 2007 16:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro