Precisa de ajuda? Peça à comunidade ou contrate um perito.
Acesse a Avira Answers
VrusWorm/Traxgy.B
Data em que surgiu:30/08/2005
Tipo:Worm
Includo na lista "In The Wild"Sim
Nvel de danos:Baixo
Nvel de distribuio:De mdio a elevado
Nvel de risco:De baixo a mdio
Ficheiro esttico:No
Tamanho:57.344 Bytes
Verso IVDF:6.31.01.196 - terça-feira, 30 de agosto de 2005

 Vulgarmente Meios de transmisso:
   • E-mail
   • Rede local
   • Unidade de rede


Alias:
   •  Kaspersky: Email-Worm.Win32.Rays
   •  F-Secure: Email-Worm.Win32.Rays
   •  Sophos: W32/Traxg-B
   •  Panda: W32/Vinet.A.worm
   •  Grisoft: I-Worm/Rays.E
   •  Bitdefender: Win32.Rays.H@mm


Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundrios:
   • Descarrega um ficheiro malicioso
   • Baixa as definies de segurana
   • Altera o registo do Windows

 Ficheiros Autocopia-se para as seguintes localizaes
   • A:\Explorer.EXE
   • A:\WINDOWS.EXE
   • %unidade%:\WINDOWS.EXE
   • %unidade%:\ghost.bat
   • %todas as pastas%\%nome da pasta actual%.exe



Envia uma cpia de si mesmo usando um nome seguinte lista:
Para: %WINDIR%\\system\ Usando um dos nomes seguintes:
   • %nmero hexadecimal%.com

Para: %WINDIR%\fonts\ Usando um dos nomes seguintes:
   • %nmero hexadecimal%.com

Para: %WINDIR%\\temp\ Usando um dos nomes seguintes:
   • %nmero hexadecimal%.com

Para: %WINDIR%\help\ Usando um dos nomes seguintes:
   • \%nmero hexadecimal%.com




So criados os seguintes ficheiros:

Ficheiro no malicioso:
   • %todas as pastas%\desktop.ini

A:\NetHood.htm Outras investigaes apontam para que este ficheiro, tambm, seja malware. Detectado como: VBS/Zapchast.B

%unidade%:\NetHood.htm Outras investigaes apontam para que este ficheiro, tambm, seja malware. Detectado como: VBS/Zapchast.B

%todas as pastas%\folder.htt Outras investigaes apontam para que este ficheiro, tambm, seja malware. Detectado como: VBS/Zapchast.B

 Registry (Registo do Windows) Um dos seguintes valores adicionado para executar o processo depois reinicializar:

  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • TempCom = %WINDIR%\\system\%nmero hexadecimal%.com
   • TempCom = %WINDIR%\fonts\%nmero hexadecimal%.com
   • TempCom = %WINDIR%\\temp\%nmero hexadecimal%.com
   • TempCom = %WINDIR%\help\%nmero hexadecimal%.com



O valor da seguinte chave Registo eliminado:

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • KaV300XP



Altera as seguintes chaves de registo do Windows:

Desactiva o Regedit e o Gestor de Tarefas:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   CabinetState]
   Valor anterior:
   • fullpath = %definies do utilizador %
   Valor recente:
   • fullpath = dword:00000001

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor anterior:
   • HideFileExt = %definies do utilizador %
   • Hidden = %definies do utilizador %
   Valor recente:
   • HideFileExt = dword:00000001
   • Hidden = dword:00000000

 E-mail Utiliza o Messaging Application Programming Interface (MAPI) para enviar e-mails. As caractersticas so as seguintes:


De:
O endereo do remetente a conta do utilizador do Outlook.


Para:
 Endereos de e-mail recolhidos do WAB (Windows Address Book).


Assunto:
O seguinte:
   • %texto chins%



Corpo:
O corpo do email o seguinte:
   • %texto chins% Document.exe %texto chins%


Atalho:
O ficheiro de atalho tem o seguinte nome:
   • Document.exe

O ficheiro de atalho uma cpia do malware.



O email pode ser parecido com o seguinte:


 Detalhes do ficheiro Linguagem de programao:
O programa de malware est escrito em Visual Basic.

Descrição enviada por Andrei Gherman em sexta-feira, 21 de setembro de 2007
Descrição atualizada por Andrei Gherman em sexta-feira, 21 de setembro de 2007

Voltar . . . .
https:// Esta janela é criptografada para sua segurança.