Worm/VBbot.L - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/VBbot.L
Data em que surgiu:	05/09/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	De baixo a médio
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	61.440 Bytes
MD5 checksum:	0121a7a330f446e43a84df481e3503c9

Vulgarmente Meio de transmissão:
   • Messenger

Alias:
   • Kaspersky: Backdoor.Win32.VBbot.l
   • TrendMicro: BKDR_VBBOT.F

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Bloqueia o acesso a Web sites de segurança
   • Desactiva aplicações de segurança
   • Descarrega ficheiros maliciosos
   • Baixa as definições de segurança
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Depois de executado é visualizada a seguinte informação:

Ficheiros Autocopia-se para a seguinte localização:
• %SYSDIR%\%uma série de caracteres aleatórios%\svshost.exe

Apaga a cópia executada inicialmente.

É criado o seguinte ficheiro:

– %TEMPDIR%\temp.bat Além disso executa-se depois de gerado. Este ficheiro de processamento em lote é usado para apagar um ficheiro.

Registry (Registo do Windows) São adicionados os seguintes valores ao registo de forma a que os processos sejam executados depois do computador ser reiniciado:

– HKLM\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%uma série de caracteres aleatórios%\svshost.exe"

– HKCU\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%uma série de caracteres aleatórios%\svshost.exe"

O seguinte valor do registo é alterado:

– HKLM\system\currentcontrolset\services\sharedaccess
   Valor anterior:
   • "Start"=dword:%definições do utilizador %
   Valor recente:
   • "Start"=dword:00000004

Messenger Propaga-se através do Messenger. Tem as seguintes características:

– AIM Messenger
– MSN Messenger

Para:
Todas as entradas na lista de contactos.

Mensagem
A mensagem enviada parece-se com uma das seguintes:

   • Hej, download this if you want free Emotions and more Extras for your messenger : %link%

   • rofl you gotta see this %link%

   • Hey I found new Winks and Emoticons for your messenger and alot more Check them out here : %link%

   • Messeger PLUS just have been released Check it out it got alot of extra features that makes your Messenger alot better. Download it here : %link%

   • are bored of your emoticons and winks ? download this tool : %link%

   • Hej, you already got the new Messenger ? :D %link%

   • Messenger Plus 6.0 Beta released....get it here :) %link%

   • Hej, wanna update your Messenger :D ? %link%

   • lmao, this is awesome! %link%

   • lol I just updated my Messenger and I call tell you it ROCKS!! %link%

   • Check this out bro, its awsome :D !! %link%

   • lol, you should check out the new Messenger Plus...it rocks! :o %link%

   • LOL this is one of the funniest things i've ever seen! %link%

   • lmao this is so funny %link%

   • you 've got to see this! %link%

%link%
Enquanto a curinga é a seguinte:
   • www.asianvideo.be/download.php?**********&do=download

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: 67.18.50.**********
Porta: 37737
Canal #.antixnew
Nickname: [XP|5|%uma série de caracteres aleatórios%]
Palavra-chave w000000t

– Este malware tem a capacidade de recolher e enviar a seguinte informação:
    • Capacidade da memória

– Para além disso tem a capacidade de executar as seguintes acções:
    • Lança DDoS ICMP floods
    • Lança DDoS SYN floods
    • Lança DDoS TCP floods
    • Lança DDoS UDP floods
    • Download de ficheiros
    • Executa o ficheiro
    • Inicia a rotina de propagação
    • Termina o malware
    • Actualiza-se a ele próprio
    • Visita um Web site

Hospedeiros O ficheiro hospedeiro sofre as seguintes alterações:

– Neste caso não haverá alterações.

– O acesso aos seguintes domínios é bloqueado:
   • avp.com; www.avp.com; ca.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; fastclick.net; ftp.f-secure.com;
      ftp.sophos.com; liveupdate.symantec.com; customer.symantec.com;
      rads.mcafee.com; mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; support.microsoft.com;
      symantec.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; vil.nai.com; viruslist.com; www.viruslist.com;
      www.awaps.net; www.ca.com; www.f-secure.com; www.fastclick.net;
      www.mcafee.com; www.microsoft.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www3.ca.com; www.grisoft.com; grisoft.com; housecall.trendmicro.com;
      trendmicro.com; www.trendmicro.com; www.pandasoftware.com;
      pandasoftware.com; kaspersky.com; www.kaspersky.com; www.zonelabs.com;
      zonelabs.com; antivir.com; antivir.de; www.spywareinfo.com;
      spywareinfo.com; www.merijn.org; merijn.org

O ficheiro hospedeiro (alterado) terá a seguinte aparência:

Terminar o processo A seguinte lista de processos são terminados:
   • msconfig.exe; kav.exe; kavsvc.exe; mcvsshld.exe; mcagent.exe;
      mcvsrte.exe; mcshield.exe; mcvsftsn.exe; mcdash.exe; mcvsescn.exe;
      mcinfo.exe; mpfagent.exe; mpftray.exe; mpfservice.exe; mskagent.exe;
      mcmnhdlr.exe; sndsrvc.exe; usrprmpt.exe; ccapp.exe; ccevtmgr.exe;
      spbbcsvc.exe; ccsetmgr.exe; symlcsvc.exe; npfmntor.exe; navapsvc.exe;
      issvc.exe; ccproxy.exe; navapw32.exe; navw32.exe; smc.exe;
      outpost.exe; zlclient.exe; vsmon.exe; isafe.exe; pandaavengine.exe;
      msblast.exe; bbeagle.exe; d3dupdate.exe; sysmonxp.exe; i11r54n4.exe;
      irun4.exe; mscvb32.exe; sysinfo.exe; mwincfg32.exe; wincfg32.exe;
      winsys.exe; zapro.exe; winupd.exe; enterprise.exe; regedit.exe;
      hijackthis.exe; gcasdtserv.exe; gcasserv.exe; pcctlcom.exe;
      tmntsrv.exe; tmproxy.exe; pccguide.exe; tmpfw.exe; pcclient.exe;
      AVGNT.EXE; AVWIN.EXE; taskmgr.exe; AVWUPSRV.EXE; ethereal.exe;
      mcupdmgr.exe; teekids.exe; penis32.exe

São terminados os processos que contêm um dos titulos seguintes:
   • ISSVC; services; GuardDogEXE; microsoft antispyware*; hijackthis*;
      wscsvc; kavsvc; McShield; MCVSRte; MpfService; navapsvc; Symantec Core
      LC; ccEvtMgr; SNDSrvc; ccProxy; ccPwdSvc; ccSetMgr; SPBBCSvc; SAVScan;
      SBService; SmcService; OutpostFirewall; vsmon; CAISafe; PcCtlCom;
      TmPfw; tmproxy; Tmntsrv

Informações diversas Mutex:
Cria o seguinte Mutex:
• AntiX

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Visual Basic.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Sergiu Oprea em Mon, 05 Sep 2005 13:01 (GMT+1)
Descrição adicionada por Sergiu Oprea em Wed, 07 Sep 2005 15:58 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back