VírusWorm/NetSky.#1
Data em que surgiu:05/04/2004
Tipo:Worm
Incluído na lista "In The Wild"Não
Nível de danos:Baixo
Nível de distribuição:Médio
Nível de risco:Baixo
Ficheiro estático:Sim
Tamanho:18.432 Bytes
MD5 checksum:ff05ddc00C74ef41157a2552af455e59
Versão VDF:6.24.00.87

 Vulgarmente Meio de transmissão:
   • E-mail


Alias:
   •  Symantec: W32.Netsky.T@mm
   •  Mcafee: W32/Netsky.t@MM
   •  Kaspersky: Email-Worm.Win32.NetSky.t
   •  TrendMicro: WORM_NETSKY.T
   •  F-Secure: W32/Netsky.T@mm
   •  Sophos: W32/Netsky-T
   •  Grisoft: I-Worm/Netsky.T
   •  VirusBuster: iworm I-Worm.Netsky.U
   •  Bitdefender: Win32.NetSky.T@mm


Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Utiliza o seu próprio motor de E-mail
   • Altera o registo do Windows

 Ficheiros Autocopia-se para a seguinte localização:
   • %WINDIR%\EasyAV.exe



É criado o seguinte ficheiro:

– Cópia com codificação MIME de si mesmo:
   • %WINDIR%\uinmzertinmds.opm

 Registry (Registo do Windows) A chave seguinte é adicionada (num loop infinito) ao registo, para executar os processos depois de reinicializar.

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "EasyAV"="%WINDIR%\EasyAV.exe"

 E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:


De:
O endereço do remetente é falsificado.


Para:
– Endereços de email encontrados em determinados ficheiros no sistema.


Assunto:
O assunto do e-mail é feito a partir do seguinte:

    Às vezes inicia com o seguinte:
   • Re:

    Continuado por um dos seguintes:
   • Important
   • My details
   • Your information
   • Your details
   • Your document
   • Request
   • Thank you!
   • Approved
   • Hello
   • account
   • postcard
   • sample
   • developement
   • concept
   • story
   • report
   • icq number
   • e-mail
   • phone number
   • personal message
   • photo document
   • order
   • important document
   • diggest
   • final version
   • release
   • answer
   • bill
   • notice
   • requested document
   • description
   • summary
   • picture document
   • movie document
   • approved document
   • old document
   • document
   • mail
   • letter
   • homepage
   • detailed document
   • powerpoint document
   • excel document
   • word document
   • info
   • information
   • text
   • new document
   • textfile
   • user list
   • improved file
   • secound document
   • file
   • number list
   • contact list
   • message
   • note
   • improved document
   • details
   • instructions
   • presentation document
   • abuse list
   • archive
   • corrected document
   • list
   • approved file


Corpo:
O corpo do email é um dos seguintes:

   • Hello!

   • Hi!


Às vezes continua com um dos seguintes:

   • Your file is attached to this mail.

   • Please read the attached document.

   • Please have a look at the attached document.

   • See the document for details.

   • Here is the document.

   • Note that I have attached your document.

   • I have spent much time for your document.

   • Please notice the attached document.

   • My %substituição 1% is attached.

   • Your %substituição 1% is attached

   • I have found the %substituição 1%

   • Please notice the attached %substituição 1%

   • I have spent much time for the %substituição 1%

   • Please read quickly.

   • For more details see the attached document.

   • For more information see the attached document.

   • Approved, here is the document.

   • The requested %substituição 1% is attached!

   • I have sent the %substituição 1%.

   • Please see the %substituição 1%.

   • The %substituição 1% is attached.

   • Here is the %substituição 1%.

   • Please have a look at the %substituição 1%.

   • Please read the %substituição 1%.

   • Please, %substituição 1%.

   • My %substituição 1%.

   • The %substituição 1%.

   • Your %substituição 1%.


Às vezes continua com um dos seguintes:

   • Yours sincerely
     

   • Thank you
     

   • Thanks


%substituição 1% pode ser extendido a um dos seguintes:
   • account; postcard; sample; developement; concept; story; report; icq
      number; e-mail; phone number; personal message; photo document; order;
      important document; diggest; final version; release; answer; bill;
      notice; requested document; description; summary; picture document;
      movie document; approved document; old document; document; mail;
      letter; homepage; detailed document; powerpoint document; excel
      document; word document; info; information; text; new document;
      textfile; user list; improved file; secound document; file; number
      list; contact list; message; note; improved document; details;
      instructions; presentation document; abuse list; archive; corrected
      document; list; approved file; report


Atalho:
O ficheiro de atalho tem um dos seguintes nomes:
   • account%número% .pif; postcard%número% .pif;
      sample%número% .pif; developement%número% .pif;
      concept%número% .pif; story%número% .pif;
      report%número% .pif; icq_number%número% .pif;
      e-mail%número% .pif; phone number%número% .pif;
      personal_message%número% .pif; photo_document%número%
      .pif; order%número% .pif; important_document%número%
      .pif; diggest%número% .pif; final_version%número%
      .pif; release%número% .pif; answer%número% .pif;
      bill%número% .pif; notice%número% .pif;
      requested_document%número% .pif; description%número%
      .pif; summary%número% .pif; picture_document%número%
      .pif; movie_document%número% .pif;
      approved_document%número% .pif; old_document%número%
      .pif; document%número% .pif; mail%número% .pif;
      letter%número% .pif; homepage%número% .pif;
      detailed_document%número% .pif;
      powerpoint_document%número% .pif; excel_document%número%
      .pif; word_document%número% .pif; info%número%
      .pif; information%número% .pif; text%número%
      .pif; new_document%número% .pif; textfile%número%
      .pif; user_list%número% .pif; improved_file%número%
      .pif; secound_document%número% .pif; file%número%
      .pif; number_list%número% .pif; contact_list%número%
      .pif; message%número% .pif; note%número% .pif;
      improved_document%número% .pif; details%número%
      .pif; instructions%número% .pif;
      presentation_document%número% .pif; abuse_list.%número%
      .pif; archive%número% .pif;
      corrected_document%número% .pif; list%número% .pif;
      approved_file%número% .pif

O ficheiro de atalho é uma cópia do malware.


 Mailing Pesquisa endereços:
Procura endereços de email nos seguintes ficheiros:
   • ppt; nch; mmf; mht; xml; wsh; jsp; xls; stm; ods; msg; oft; sht; html;
      htm; pl; dbx; tbb; adb; dhtm; cgi; shtm; uin; rtf; vbs; doc; wab; asp;
      mdx; mbx; cfg; php; txt; eml

 Backdoor É aberta a seguinte porta:

– %ficheiro executado% numa porta TCP 6789

 DoS  Desde 14/04/2004 até 17/04/2004 realiza ataques DoS contra os seguintes destinos:
   • www.keygen.us
   • www.freemule.net
   • www.kazaa.com
   • www.emule.de
   • www.cracks.am

 Informações diversas Mutex:
Cria os seguintes Mutexes:
   • SyncMutex_USUkUyUnUeUtU
   • Protect_USUkUyUnUeUtU_Mutex


Texto:
Além disso tem o seguinte texto:
   • Now we have programmed our backdoor, it cannot be used for spam relaying, only for Skynet distribution, our advice: educate the users or update the smtp protocol, and heuristics cannot detect Skynet, becauses numerous scambler, compressors, and protectors exists including programming new features. Thanks to russia, and thanks to CCC for support. 09:34 A.M, Russia

 Detalhes do ficheiro Linguagem de programação:
 O programa de malware está escrito em MS Visual C++.


Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
   • UPX

Descrição enviada por Ionut Slaveanu em quinta-feira, 4 de maio de 2006
Descrição atualizada por Cosmin Ancuta em sexta-feira, 5 de maio de 2006

Voltar . . . .