VírusWorm/Traxgy.B
Data em que surgiu:30/08/2005
Tipo:Worm
Incluído na lista "In The Wild"Sim
Nível de danos:Baixo
Nível de distribuição:De médio a elevado
Nível de risco:De baixo a médio
Ficheiro estático:Não
Tamanho:57.344 Bytes
Versão IVDF:6.31.01.196 - terça-feira, 30 de agosto de 2005

 Vulgarmente Meios de transmissão:
   • E-mail
   • Rede local
   • Unidade de rede


Alias:
   •  Kaspersky: Email-Worm.Win32.Rays
   •  F-Secure: Email-Worm.Win32.Rays
   •  Sophos: W32/Traxg-B
   •  Panda: W32/Vinet.A.worm
   •  Grisoft: I-Worm/Rays.E
   •  Bitdefender: Win32.Rays.H@mm


Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Baixa as definições de segurança
   • Altera o registo do Windows

 Ficheiros Autocopia-se para as seguintes localizações
   • A:\Explorer.EXE
   • A:\WINDOWS.EXE
   • %unidade%:\WINDOWS.EXE
   • %unidade%:\ghost.bat
   • %todas as pastas%\%nome da pasta actual%.exe



Envia uma cópia de si mesmo usando um nome seguinte lista:
– Para: %WINDIR%\\system\ Usando um dos nomes seguintes:
   • %número hexadecimal%.com

– Para: %WINDIR%\fonts\ Usando um dos nomes seguintes:
   • %número hexadecimal%.com

– Para: %WINDIR%\\temp\ Usando um dos nomes seguintes:
   • %número hexadecimal%.com

– Para: %WINDIR%\help\ Usando um dos nomes seguintes:
   • \%número hexadecimal%.com




São criados os seguintes ficheiros:

– Ficheiro não malicioso:
   • %todas as pastas%\desktop.ini

– A:\NetHood.htm Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: VBS/Zapchast.B

– %unidade%:\NetHood.htm Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: VBS/Zapchast.B

– %todas as pastas%\folder.htt Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: VBS/Zapchast.B

 Registry (Registo do Windows) Um dos seguintes valores é adicionado para executar o processo depois reinicializar:

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • TempCom = %WINDIR%\\system\%número hexadecimal%.com
   • TempCom = %WINDIR%\fonts\%número hexadecimal%.com
   • TempCom = %WINDIR%\\temp\%número hexadecimal%.com
   • TempCom = %WINDIR%\help\%número hexadecimal%.com



O valor da seguinte chave Registo é eliminado:

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • KaV300XP



Altera as seguintes chaves de registo do Windows:

Desactiva o Regedit e o Gestor de Tarefas:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   CabinetState]
   Valor anterior:
   • fullpath = %definições do utilizador %
   Valor recente:
   • fullpath = dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor anterior:
   • HideFileExt = %definições do utilizador %
   • Hidden = %definições do utilizador %
   Valor recente:
   • HideFileExt = dword:00000001
   • Hidden = dword:00000000

 E-mail Utiliza o Messaging Application Programming Interface (MAPI) para enviar e-mails. As características são as seguintes:


De:
O endereço do remetente é a conta do utilizador do Outlook.


Para:
– Endereços de e-mail recolhidos do WAB (Windows Address Book).


Assunto:
O seguinte:
   • %texto chinês%



Corpo:
O corpo do email é o seguinte:
   • %texto chinês% Document.exe %texto chinês%


Atalho:
O ficheiro de atalho tem o seguinte nome:
   • Document.exe

O ficheiro de atalho é uma cópia do malware.



O email pode ser parecido com o seguinte:


 Detalhes do ficheiro Linguagem de programação:
 O programa de malware está escrito em Visual Basic.

Descrição enviada por Andrei Gherman em sexta-feira, 21 de setembro de 2007
Descrição atualizada por Andrei Gherman em sexta-feira, 21 de setembro de 2007

Voltar . . . .