Precisa de ajuda? Peça à comunidade ou contrate um perito.
Acesse a Avira Answers
VírusWorm/Rays
Data em que surgiu:03/02/2004
Tipo:Worm
Incluído na lista "In The Wild"Sim
Nível de danos:De baixo a médio
Nível de distribuição:De médio a elevado
Nível de risco:De baixo a médio
Ficheiro estático:Sim
Tamanho:49.152 Bytes
MD5 checksum:e8d54b8ac74c2982fad37567b3bd1ced
Versão VDF:6.24.00.34

 Vulgarmente Meios de transmissão:
   • E-mail
   • Rede local


Alias:
   •  Symantec: W32.Wullik@mm
   •  Kaspersky: Email-Worm.Win32.Wukill
   •  TrendMicro: WORM_WUKILL.B
   •  Sophos: W32/Wukill-B
   •  Grisoft: I-Worm/Wukill.B
   •  VirusBuster: virus I-Worm.Wukill.B
   •  Bitdefender: Win32.Rays.A@mm


Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Descarrega ficheiros maliciosos
   • Altera o registo do Windows


Depois de executado é visualizada a seguinte informação:


 Ficheiros Autocopia-se para as seguintes localizações
   • %WINDIR%\system\%uma série de caracteres aleatórios%.exe
   • %WINDIR%\web\%uma série de caracteres aleatórios%.exe
   • %WINDIR%\fonts\%uma série de caracteres aleatórios%.exe
   • %WINDIR%\temp\%uma série de caracteres aleatórios%.exe
   • %WINDIR%\help\%uma série de caracteres aleatórios%.exe
   • %unidade%:\winfile.exe
   • \%nome da pasta actual%.exe



Envia cópias de si mesmo usando um nome das listas seguintes:
– Para: c:\windows Usando um dos nomes seguintes:
   • Mstray.exe
   • MsHelp.exe




São criados os seguintes ficheiros:

– Ficheiro temporário que poderá ser apagado mais tarde:
   • %TEMPDIR%\~%número hexadecimal%.tmp

%unidade%:\desktop.ini É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • [.ShellClassInfo]
     HTMLInfoTipFile=file://Comment.htt
     ConfirmFileOp = 0

%unidade%:\comment.htt Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: VBS/Starter.B

 Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "RavTimeXP"="%directório de execução do malware%\%ficheiro executado%"
   • "RavTimXP"="%directório de execução do malware%\%ficheiro executado%"



O valor da seguinte chave Registo é eliminado:

–  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "RavTimXP"="%directório de execução do malware%\%ficheiro executado%"



Altera as seguintes chaves de registo do Windows:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor anterior:
   • "Hidden"=%definições do utilizador %
   • "HideFileExt"=%definições do utilizador %
   Valor recente:
   • "Hidden"=dword:00000000
   • "HideFileExt"=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   CabinetState]
   Valor anterior:
   • "fullpath" = %definições do utilizador %
   Valor recente:
   • "fullpath" = dword:00000001

 E-mail Utiliza o Microsoft Outlook para enviar emails. Tem as seguintes características:


De:
O endereço do remetente é a conta do utilizador do Outlook.


Para:
– Endereços de e-mail recolhidos do WAB (Windows Address Book).


Assunto:
O seguinte:
   • MS-DOS????



Corpo:
– Contém código HTML.
O corpo do email é o seguinte:

   • 这是一款相当好的MS—DOS帮助文件。
     看看吧,对你有好处的。


Atalho:
O ficheiro de atalho tem o seguinte nome:
   • MShelp.EXE

O ficheiro de atalho é uma cópia do malware.



O email pode ser parecido com o seguinte:


 Infecção da rede  Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Envia uma cópia de si próprio à seguinte partilha de rede:
   •

 Detalhes do ficheiro Linguagem de programação:
O programa de malware está escrito em Visual Basic.

Descrição enviada por Daniel Constantin em segunda-feira, 13 de março de 2006
Descrição atualizada por Andrei Gherman em sexta-feira, 24 de abril de 2009

Voltar . . . .
https:// Esta janela é criptografada para sua segurança.