Worm/Zotob.E - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Zotob.E
Data em que surgiu:	16/08/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Médio
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	10.366 Bytes
MD5 checksum:	7a67f7a8c844820c1bae3ebf720c1cd9
Versão VDF:	6.31.1.128

Vulgarmente Meio de transmissão:
   • Rede local

Alias:
   • Symantec: W32.Zotob.E
   • Mcafee: W32/Bozori.worm.a!CME-540
   • Kaspersky: Net-Worm.Win32.Bozori.a
   • TrendMicro: WORM_RBOT.CBQ
   • Sophos: W32/Tpbot-A
   • Panda: W32/IRCbot.KC.worm
   • VirusBuster: I-Worm.Zotob.C
   • Eset: Win32/Bozori.A worm
   • Bitdefender: Win32.Worm.Zotob.D

Sistema Operativo:
   • Windows 2000

Efeitos secundários:
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software

Ficheiros Autocopia-se para a seguinte localização:
• %SYSDIR%\wintbp.exe

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• Wintbp" = "%SYSDIR%\wintbp.exe"

Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Exploit:
Faz uso do seguinte Exploit:
– MS05-039 (Vulnerability in Plug and Play)

Criação de endereços IP:
Cria endereços IP aleatórios e tenta estabelecer uma ligação com eles.

Processo de infecção:
Cria um script TFTP na máquina a atacada para permitir o download do malware da máquina atacante.

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: 72.20.27.**********
Porta: 8080
Canal #tbp
Nickname: %uma série de caracteres aleatórios%

Backdoor É aberta a seguinte porta:

– %SYSDIR%\wintbp.exe numa porta UDP 69 para fornecer um servidor de TFTP.

Informações diversas Mutex:
Cria o seguinte Mutex:
• wintbp.exe

Veja aqui uma breve descrição.

Descrição adicionada por Oliver Auerbach em Wed, 17 Aug 2005 02:17 (GMT+1)
Descrição adicionada por Oliver Auerbach em Fri, 19 Aug 2005 15:49 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back