English
Deutsch
Español
Italian
Home
Virus Info
Worm/Gobot.S
Search
Home
Support
Solutions
Products
Downloads
Virus Info
Statistics
Phishing Worldmap
VDF History
Virus Science
Submit Sample
Security News
Viruses In the Wild
Company
Press
Partners
Newsletter
Worm/Gobot.S - Worm
Ver também
Sumário
Descrição completa
Estatísticas
How would you rate this information?
Worthless
Excellent
Vírus
Worm/Gobot.S
Data em que surgiu:
22/11/2005
Tipo:
Worm
Incluído na lista "In The Wild"
Sim
Nível de danos:
Baixo
Nível de distribuição:
De médio a elevado
Nível de risco:
Médio
Ficheiro estático:
Não
Tamanho:
~41.200 Bytes
Versão VDF:
6.26.00.56
Vulgarmente
Meios de transmissão:
• Rede local
• Peer to Peer
Alias:
• Kaspersky: Backdoor.Win32.Gobot.s
• TrendMicro: WORM_GOBOT.S
• F-Secure: W32/Agobot.AVU
• Sophos: W32/Gobot-C
• Bitdefender: Backdoor.Gabot.A
Sistemas Operativos:
• Windows 95
• Windows 98
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
Efeitos secundários:
• Guarda as teclas digitadas
• Altera o registo do Windows
• Aproveita-se de vulnerabilidades do software
• Informação de roubos
• Possibilita acesso não autorizado ao computador
Ficheiros
Autocopia-se para a seguinte localização:
•
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
É criado o seguinte ficheiro:
–
%WINDIR%
\setup.txt O ficheiro contém informação das teclas pressionadas.
Registry (Registo do Windows)
Um dos seguintes valores é adicionado para executar o processo depois reinicializar:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• AVPCC =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NPROTECT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• SMC =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NETUTILS =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NTXCONFIG =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• LDNETMON =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CONNECTIONMONITOR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NVSVC32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVSYNMGR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ERICS =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVENGNAVEX15 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAV AUTO-PROTECT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CPDCLNT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MPFSERVICE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MPFTRAY =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PORTMONITOR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CPDCLNT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSHWIN32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSECOMR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• WEBSCANX =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• TCMON =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ALOGSERV =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CMGRDIAN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• RULAUNCH =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• DVP95 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PROCESSMONITOR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• FRW =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVAP =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVAPW32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• DEFWATCH =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• GENERICS =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVAPSVC =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NTVDM =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVWNT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVLU32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• LUALL =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• SWNETSUP =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ICLOAD95 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• TDS-3 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ICMON =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ICSUPP95 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• IFACE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ADVXDWIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PADMIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• RAV7WIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• WATCHDOG =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MINILOG =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• P-WIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NDD32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• FNRB32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NMAIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• IAMSERV =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NPSCHECK =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AGENTW =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PERSFW =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PERSWF =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• LOCKDOWN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• SPYXX =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• WEBTRAP =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ATCON =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NPROTECT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• WGFE95 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ZONEALARM =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSMON =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVKSERV =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MPFAGENT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MPFSERVICE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• MPFTRAY =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PORTMONITOR =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSHWIN32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• WEBSCANX =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSSTAT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• PCCWIN98 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ATUPDATE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVCONSOL =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NSCHED32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• KAVDOS32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ESPWATCH =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NEOWATCHLOG =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AUTOTRACE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AUTODOWN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VETTRAY =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• SAFEWEB =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VSCAN40 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CFIADMIN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• LUCOMSERVE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• RVE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• TFAK =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• VBCMSERV =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NWTOOL16 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVP32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• ANTI-TROJAN =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NWSERVICE =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• CTRL =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• NAVNT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVXMONITORNT =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVPDOS32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
• AVPTC32 =
%WINDIR%
\
%uma série de caracteres aleatórios%
.exe
P2P
De modo a infectar sistemas na comunidade P2P executa a seguinte acção: Obtém a pasta partilhada examinando as seguintes chaves de registo:
• HKCU\Software\Kazaa\localcontent
• HKCU\Software\Limewire
• HKCU\Software\Shareaza
• HKCU\Software\Morpheus
• HKCU\Software\Xolox
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\edonkey2000
Em caso de ser bem sucedido, são criados os seguintes ficheiros:
• AIM_Account_Stealer_Crack.exe; AIM_Account_Stealer_Crack.exe;
AIM_Account_Stealer_Full.exe; AIM_Account_Stealer_Full.exe;
AIM_Account_Stealer_ISO_Full.exe;
AIM_Account_Stealer_Key_Generator.exe; AIM_Account_Stealer_Patch.exe;
AIM_Account_Stealer_Patch.exe; Cat_Attacks_Child_Crack.exe;
Cat_Attacks_Child_Full.exe; Cat_Attacks_Child_ISO_Full.exe;
Cat_Attacks_Child_ISO_Full.exe; Cat_Attacks_Child_Key_Generator.exe;
Cat_Attacks_Child_Key_Generator.exe; Cat_Attacks_Child_Patch.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_Crack.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_Full.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_ISO_Full.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_Key_Generator.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_Patch.exe;
CKY3_Bam_Margera_World_Industries_Alien_Workshop_Patch.exe;
DSL_Modem_Uncapper_Crack.exe; DSL_Modem_Uncapper_Crack.exe;
DSL_Modem_Uncapper_Full.exe; DSL_Modem_Uncapper_Full.exe;
DSL_Modem_Uncapper_ISO_Full.exe; DSL_Modem_Uncapper_ISO_Full.exe;
DSL_Modem_Uncapper_Key_Generator.exe; DSL_Modem_Uncapper_Patch.exe;
Hacking_Tool_Collection_Crack.exe; Hacking_Tool_Collection_Crack.exe;
Hacking_Tool_Collection_Full.exe;
Hacking_Tool_Collection_ISO_Full.exe;
Hacking_Tool_Collection_Key_Generator.exe;
Hacking_Tool_Collection_Patch.exe; Hacking_Tool_Collection_Patch.exe;
Internet_and_Computer_Speed_Booster_Crack.exe;
Internet_and_Computer_Speed_Booster_Crack.exe;
Internet_and_Computer_Speed_Booster_Full.exe;
Internet_and_Computer_Speed_Booster_ISO_Full.exe;
Internet_and_Computer_Speed_Booster_Key_Generator.exe;
Internet_and_Computer_Speed_Booster_Patch.exe;
Macromedia_Flash_5.0_Crack.exe; Macromedia_Flash_5.0_Full.exe;
Macromedia_Flash_5.0_ISO_Full.exe; Macromedia_Flash_5.0_ISO_Full.exe;
Macromedia_Flash_5.0_Key_Generator.exe;
Macromedia_Flash_5.0_Key_Generator.exe;
Macromedia_Flash_5.0_Patch.exe;
MSN_Password_Hacker_and_Stealer_Crack.exe;
MSN_Password_Hacker_and_Stealer_Full.exe;
MSN_Password_Hacker_and_Stealer_Full.exe;
MSN_Password_Hacker_and_Stealer_ISO_Full.exe;
MSN_Password_Hacker_and_Stealer_Key_Generator.exe;
MSN_Password_Hacker_and_Stealer_Patch.exe; Windows_XP_Crack.exe;
Windows_XP_Crack.exe; Windows_XP_Full.exe; Windows_XP_Full.exe;
Windows_XP_ISO_Full.exe; Windows_XP_Key_Generator.exe;
Windows_XP_Key_Generator.exe; Windows_XP_Patch.exe;
ZoneAlarm_Firewall_Crack.exe; ZoneAlarm_Firewall_Full.exe;
ZoneAlarm_Firewall_ISO_Full.exe; ZoneAlarm_Firewall_Patch.exe;
ZoneAlarm_Firewall_Patch.exe
Os ficheiros são cópias do próprio malware.
Infecção da rede
Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.
Exploit:
Faz uso do seguinte Exploit:
– Mydoom backdoor (port 3127)
IRC
Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:
Servidor: 217.160.**********.243
Porta: 6659
Canal #GhostBot
Nickname:
% nome do utilizador actual%
%números aleatórios entre 0 e 9%
Palavra-chave x-bot6659
– Este malware tem a capacidade de recolher e enviar a seguinte informação:
• Velocidade do CPU
• Utilizador Actual
• Espaço disponível no disco
• Memória disponível
• Informações sobre a rede
• Capacidade da memória
• Nome de utilizador
– Para além disso tem a capacidade de executar as seguintes acções:
• Lança DDoS SYN floods
• Download de ficheiros
• Executa o ficheiro
• Termina processos
• Termina processos
Detalhes do ficheiro
Linguagem de programação:
Ficheiro escrito em MS Visual C++.
Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.
Veja
aqui
uma breve descrição.
Descrição adicionada por Andrei Gherman em Wed, 23 Nov 2005 10:40 (GMT+1)
Descrição adicionada por Andrei Gherman em Thu, 24 Nov 2005 15:38 (GMT+1)
»
About Malware
»
About Phishing
»
Viruses In the Wild
« back
Print this page
TR/Crypt.CFI.Gen
W32/Elkern.C
Worm/Mytob.BQ
Worm/Mytob.AP
Worm/Klez.E
Worm/Zhelatin.ZI
TR/Delf.Agent.ABC
TR/Agent.284658
TR/Dldr.Tiny.brm
Worm/Autorun.FY.1
Get comfortable up to the minute info from Avira as
Detects and removes the following malware and its variants:
Worm/Sober.J
Worm/Sober.P
Worm/Sober.Y
W32/Stanit.A
Worm/NetSky.AA
Worm/NetSky.B.1
Worm/NetSky.C
Worm/Netsky.D.Dam
Worm/NetSky.P
Worm/NetSky.X
Worm/Mytob.IN.2
Worm/Mytob.KS
TR/Spy.Banker.AATZ
TR/Spy.Banker.AATZ.1
TR/Spy.Banker.AATZ.2
TR/Spy.Banker.AATZ.3
Download here
Click
here
to get the panel...
© 2008 Avira GmbH
Copyright
Privacy
Sitemap
Feedback
Imprint
FAQ
Contact
Print this page
.gif)
