Worm/Zafi.E - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Zafi.E
Data em que surgiu:	26/09/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	De baixo a médio
Nível de distribuição:	De médio a elevado
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	15.367 Bytes
MD5 checksum:	0DA379936D9B8EE36EE77CBC3B9C74B7
Versão VDF:	6.32.0.41

Vulgarmente Meios de transmissão:
   • E-mail
   • Peer to Peer

Alias:
   • Kaspersky: Email-Worm.Win32.Zafi.e
   • TrendMicro: WORM_ZAFI.E
   • Bitdefender: Win32.Zafi.E@mm

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Desactiva aplicações de segurança
   • Utiliza o seu próprio motor de E-mail
   • Baixa as definições de segurança
   • Altera o registo do Windows

Depois de executado é visualizada a seguinte informação:

Ficheiros Autocopia-se para as seguintes localizações
   • %SYSDIR%\Symantec_Update-%números aleatórios entre 0 e 9%.exe
   • %SYSDIR%\%números aleatórios entre 0 e 9%Z.dll

Apaga a cópia executada inicialmente.

São criados os seguintes ficheiros:

– Ficheiro que contém uma colecção de endereços de email:
   • %SYSDIR%\%números aleatórios entre 0 e 9%Z.dll

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "__ZF5"="%SYSDIR%\Symantec_Update-%números aleatórios entre 0 e 9%.exe"

É adicionada a seguinte chave de registo:

– [HKLM\SOFTWARE\Microsoft\__ZF5]
   • "%dois caracteres aleatórios%"=dword:00000100
   • "%dois caracteres aleatórios%"="%endereço de e-mail do remetente%"
   • "%dois caracteres aleatórios%"="%email de utilizador% "
   • "%dois caracteres aleatórios%"="%SYSDIR%\%números aleatórios entre 0 e 9%Z.dll"
   • "%dois caracteres aleatórios%"="%aplicação Windows aleatória%"

E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:
A linguagem na qual o e-mail é enviado depende do nível do domínio.

De:
O endereço do remetente é falsificado.

Para:
– Endereços de email encontrados em determinados ficheiros no sistema.

Assunto:
Um dos seguintes:
   • Star Wars Greeting
   • MSN Postcard
   • Greeting from neptun.ru
   • MSN.RU Postcard
   • Una Star Wars cartolina per te da regione.it
   • Cartolina Digitale
   • Une Star Wars carte pour vous
   • Confidental
   • e-udvozlet
   • megasztar
   • e-pohlednice
   • Elektronickou Star Wars
   • e-postkarte
   • Star Wars
   • Electronisch Star Wars
   • E-kaartje
   • Has recibido una tarjeta en neptun.mx
   • e-tarjeta
   • Star Wars
   • e-kort

Corpo:
– Contém código HTML.
O corpo do email é um dos seguintes:

   • STAR WARS

Continuado com um dos seguintes:

   • Hi there

     There's a star wars postcard waiting for you, from %email de utilizador%.
     Just click the link below to pick up your personal message:
     %ficheiro de atalho sem extensão%.jpg

     (If you cannot view the image by clicking on the link, copy and paste
     the attachment picture into your browser).

     Best regards: http://www.jedinet.com

   • Здравствуйте,

     Вам пришла открытка!
     Вы можете получить ее по адресу
     %ficheiro de atalho sem extensão%.jpg

     Код для получения открытки 10025412 Открытка может быть получена любым графическим браузером в течение 1 месяца с момента получения этого сообщения.

   • Ciao

     %email de utilizador% ti ha inviato una cartolina digitale dal nostro sito.
     Per visualizzare la cartolina è sufficiente cliccare questo link:
     %ficheiro de atalho sem extensão%.jpg

     Nel caso dovessi avere problemi nel visualizzare la tua cartolina, può
     essere che i giorni a disposizione siano scaduti, è comunque possibile
     fare una prova a questo indirizzo: www.regione.it

   • Bonjour

     %email de utilizador% a crée une 'star wars' carte specialement pour vous, et vous l'a envoyée le % data actual%.
     La carte sera sauvgardée pendant 10 jours. Veuillez la recupérer dans les 10 jours avant qu'elle expire.
     Cliquer sur ce lien pour voir votre e-carte:
     %ficheiro de atalho sem extensão%.jpg

     Alternativement vous pouvez lui envoyer une autre carte gratuitement sur www.smartweb.fr

   • Kedves Felhasználó

     %email de utilizador% elektronikus üdvözlõlapot küldött Önnek!
     Megtekintéséhez kattintson a mellékelt kép hivatkozására, vagy másolja be
     a böngészõ (Internet Explorer, Netscape Navigator, Mozilla, stb.) címsorába!
     %ficheiro de atalho sem extensão%.jpg

     A már kézbesített lapokat 3 hétig õrizzük meg!
     http://www.tv2.hu

   • Dobrý den

     Dostáváte tento email, protoe Vám %email de utilizador%,
     poslal(a) elektronickou `star wars` pohlednici. Vae pohlednice je uloena na
     serveru centrum.cz a mùete si ji vyzvednout na adrese:
     %ficheiro de atalho sem extensão%.jpg

     Tuto pohlednici budeme archivovat po dobu 30-ti dnù. Doufáme, e se Vám
     bude líbit. :-)

     Nejvetsi vyber plakatu na http://www.centrum.cz

   • Hallo

     %email de utilizador% hat Ihnen eine Star Wars Postkarte geschickt!
     Ihre Postkarte wurde am %date% versendet und ist für 10 Tage gespeichert.
     Sie können Sie unter folgender URL ansehen:
     %ficheiro de atalho sem extensão%.jpg

     Mit freundlichen Grüßen,

     Free eCards - Grusskarte senden - send a free eCard
     Powered by http://www.deutschepost.de

   • Hallo

     Je hebt een electronisch kaartje ontvangen van %email de utilizador%
     Je kunt je persoonlijke kaartje bekijken door naar het
     volgende internet adreste gaan:
     %ficheiro de atalho sem extensão%.jpg

     We hebben vele 100-en kaartjes in allerlei categoriën.
     Natuurlijk kan ook jij een kaartje sturen, ga naar
     http://www.fonztv.nl

   • ¡Hola

     Hay una tarjeta disponible en Neptun.mx de parte de %email de utilizador%.
     Para verla, hacer click en el siguiente enlace:
     %ficheiro de atalho sem extensão%.jpg

     Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
     en todo momento durante la vigencia de tu membresía; si no lo eres,
     estará disponible dos semanas a partir de la fecha en que la envíes.

   • Hello

     %email de utilizador% har send eit kort til deg.
     Du kan henta kortet ditt på
     %ficheiro de atalho sem extensão%.jpg

     og skriva inn kortnummer 214 og passord 5016.

Continua com o seguinte:

   • ImageSize: 15Kb V
     Virus & Spam Scan: V

Atalho:
O nome do ficheiro de atalho é construído a partir do seguinte:

– Começa por um dos seguintes:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort
   • dscn
   • post

Continuado por um dos seguintes:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort

    Continuado por um dos seguintes:
   • show%quatro caracteres aleatórios%
   • index%quatro caracteres aleatórios%
   • imag%quatro caracteres aleatórios%
   • wars%quatro caracteres aleatórios%
   • pict%quatro caracteres aleatórios%
   • dscn%quatro caracteres aleatórios%
   • post%quatro caracteres aleatórios%

    A extensão do ficheiro é uma das seguintes:
   • .zip

Exemplos de como o nome do ficheiro de atalho pode parecer:
   • lnk.cart.index1650.zip
   • galerij.show.wars3765.zip
   • pict.index.post4325.zip
   • lnk.grusskarte.pict8074.zip

O ficheiro de atalho é uma cópia do malware.

O email pode ser parecido com um dos seguintes:

Mailing Pesquisa endereços:
Procura endereços de email nos seguintes ficheiros:
   • .htm; .wab; .txt; .dbx; .tbb; .asp; .php; .sht; .adb; .mbx; .eml;
      .pmr; .fpt; .inb

Endereços evitados:
Não envia emails para endereços com os seguintes blocos de texto:
   • google; sale; service; info; help; admi; webm; micro; msn; hotm;
      suppor; soft.; zonela

Adicinado texto MX ao início:
De forma a obter o endereço IP do servidor de email tem capacidade de adicionar (ao início) do nome de domínio os seguintes textos:
   • mail.; smtp.; mx.; fmx.; matav-1.; gold.; matav-2.; domser.; suli2.;
      matav-4.; gemini.; goliat2.; webmail.; postman.; huasmtp01.;
      mailin02.sul.; mail4u.; Mmx-ha01.web.; Mmx2.mail.; smtp-in.;
      Mmail.wxs.; box-05.; mail-mx-00.; smtp01.; smtp03.; pop.; Mmx.is.;
      debian-mx1.; mrelay1-2.; smtpB1.; maury.; newken.; blackhole.; Mmail.;
      mail-mx-3.; mxrm.; mbox.; pweb.; mail-kr3.; mail-kr4.; mailserver.;
      mx-a.mail.; mailin-01.mx.; mxs.; office.; cscmail.; Mrelay2.

P2P De modo a infectar sistemas na comunidade P2P executa a seguinte acção:   Procura directórios com os seguintes textos:
   • "share"
   • "upload"
   • "music"
   • "startup"

   Em caso de ser bem sucedido, são criados os seguintes ficheiros:
   • Adobe Acrobat 8.0.exe
   • Divx Player 7.0.exe

Terminar o processo A seguinte lista de processos são terminados:
   • nmain.exe; Luall.exe; nod32.exe; gcasDtServ.exe; nod32krn.exe;
      nod32kui.exe; AVLTMAIN.EXE; MRT.exe; gcasServ.exe; avginet.exe;
      inetupd.exe; fpavupdm.exe; Updater.exe; pcclient.exe; F-StopW.exe;
      drwebupw.exe; QH32.EXE; QHM32.EXE; LIVEUP.exe; savmain.exe;
      savprogess.exe; nod32.exe; bdmcon.exe; bdlite.exe; McUpdate.exe;
      mcmnhdlr.exe; VBInstTmp.exe; vbcmserv.exe; vbcons.exe; fspex.exe

Informações diversas Procura uma ligação de internet contactando o seguinte web site:
• microsoft.com

Mutex:
Cria o seguinte Mutex:
• __ZF5

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Mon, 26 Sep 2005 14:56 (GMT+1)
Descrição adicionada por Andrei Ivanes em Mon, 26 Sep 2005 17:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back