Full description

病毒:	Worm/Autorun.abji
发现日期:	13/12/2012
类型:	蠕虫
广泛传播:	是
病毒传播个案呈报：	低程度至中程度
感染/传播能力：	低程度至中程度
破坏 / 损害程度：	中等程度
静态文件:	是
文件大小:	544.768 字节
MD5 校检和:	68e636d10111fc2bfc8acb3391f3f3f8
VDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일
IVDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일

况概描述 传播方法:
   • 视窗自动运行Autorun功能
   • 局域网络
   • Messenger

别名:
   • Mcafee: W32/Sdbot.worm.gen
   • Sophos: Mal/Generic-A
   • Panda: Hacktool/Tcpz.A
   • Eset: Win32/Boberog.K
   • Bitdefender: Trojan.Generic.1678014

平台/操作系统:
   • Windows 2000
   • Windows XP
   • Windows 2003

副作用:
   • 植入恶意文件
   • 注册表修改
   • 第三方控件

文件它将本身复制到以下位置:
   • %SYSDIR%\wmibus.exe
   • %驱动器%\RECYCLER\%CLSID%\autorun.exe

它会删除其本身最初执行的副本。

创建以下文件:

– %驱动器%\RECYCLER\%CLSID%\Desktop.ini
– %驱动器%\autorun.inf 这是一个无恶意的文本文件，包含以下内容:
   • %运行恶意软件代码%

注册表会添加以下注册表项，以便在系统重新引导后运行进程:

– [HKLM\SYSTEM\CurrentControlSet\Services\WMIBUS]
   • "Description"="Creates opticodes for WMI apps."
   • "DisplayName"="WMI Bus Database"
   • "ErrorControl"=dword:0x00000000
   • "FailureActions"=hex:0A,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,2E,00,73,00,01,00,00,00,B8,0B,00,00
   • "ImagePath"=""%SYSDIR%\wmibus.exe""
   • "ObjectName"="LocalSystem"
   • "Start"=dword:0x00000002
   • "Type"=dword:0x00000110

会更改以下注册表项:

– [HKLM\SYSTEM\CurrentControlSet\Control]
   新值:
   • "WaitToKillServiceTimeout"="7000"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions]
   新值:
   • "GON"="%执行的文件%"

Messenger 它是通过 Messenger 传播的。下面说明了它的特征:

– AIM Messenger
– Windows Live Messenger

该 URL 随后会引用所述恶意软件的副本。如果用户下载并执行此文件，该感染进程会再次启动。

网络感染该恶意软件会尝试以下方式连接其他计算机来作广泛传播／感染。
它会利用以下漏洞攻击:
– MS04-007 (ASN.1 漏洞)
– MS05-039 (即插即用中的漏洞)
– MS06-040 (服务器服务中的漏洞)

IP 地址生成:
它会创建随机 IP 地址，但会保留自己地址的第一个八进制字节。之后，它会尝试与所创建的地址建立连接。

远程执行:
–它会尝试在刚感染的计算机上安排远程执行恶意软件。因此，它会使用NetScheduleJobAdd 功能。

IRC 为了提供系统信息和远程控制，它会连接到以下 IRC 服务器:

服务器: schima.ch**********.info
端口: 8083
通道: #sploit-s
昵称: [00|USA|XP|%数字%]

服务器: cornea.ch**********.info

服务器: sin.nk**********.info

服务器: descent.ne**********.info

服务器: design.nk**********.info

服务器: argv.ne**********.info

服务器: mute.nk**********.info

服务器: system.cit**********.info

服务器: load.nk**********.info

服务器: core.ci**********.info

后门程序会打开以下端口:
在 TCP 端口上 27198 以便提供 HTTP 服务器。

其他 防调试
它会检查是否存在以下某个文件:
• \\.\SICE
• \\.\NTICE

文件详细信息 运行时压缩程序:
为了提高检测难度以及减小文件，它已使用运行时压缩程序进行压缩。

설명 삽입자 Petre Galan 2010년 3월 4일 목요일
설명 업데이트 Petre Galan 2010년 3월 4일 목요일

뒤로 . . . .

내 계정