VírusWorm/IrcBot.50689
Data em que surgiu:09/12/2008
Tipo:Worm
Incluído na lista "In The Wild"Sim
Nível de danos:De baixo a médio
Nível de distribuição:Médio
Nível de risco:Médio
Ficheiro estático:Sim
Tamanho:753.664 Bytes
MD5 checksum:e5a140ae274a999bdf359ab2083912de
Versão IVDF:7.01.00.208 - terça-feira, 9 de dezembro de 2008

 Vulgarmente Meios de transmissão:
   • Recurso de execução automática
   • Messenger


Alias:
   •  Mcafee: W32/Sdbot.worm virus
   •  Bitdefender: Backdoor.IRCBot.ACZV
   •  Eset: Win32/AutoRun.IRCBot.GF


Sistemas Operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003


Efeitos secundários:
   • Possibilita acesso não autorizado ao computador
   • Descarrega ficheiros maliciosos
   • Altera o registo do Windows

 Ficheiros Autocopia-se para as seguintes localizações
   • %unidade%\RECYCLER\runme.exe
   • %WINDIR%\clsidsrv.exe



É criado o seguinte ficheiro:

– %unidade%\autorun.inf É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • %código que executa malware%




Tenta executar o seguinte ficheiro:

– Executa um dos seguintes ficheiros:
   • "%WINDIR%\clsidsrv.exe"

 Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Clsid Service"="clsidsrv.exe"

–  [HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DW]
   • DWFileTreeRoot

 Messenger Propaga-se através do Messenger. Tem as seguintes características:

– Windows Live Messenger

O URL aponta para uma cópia do malware descrito. Se o utilizador descarregar e executar este ficheiro terá início o processo de infecção do seu computador.

 IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: 203.200.**********.109
Porta: 6667
Canal #bot
Nickname: [00|USA|%número% ]

 Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
   • Themida

Descrição enviada por Petre Galan em quarta-feira, 11 de agosto de 2010
Descrição atualizada por Petre Galan em quarta-feira, 11 de agosto de 2010

Voltar . . . .