Worm/VB.AT.1 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/VB.AT.1
Data em que surgiu:	03/08/2005
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Baixo
Ficheiro estático:	Sim
Tamanho:	12.288 Bytes
MD5 checksum:	85add335b75d9a6c44019f5ffdbf2b9a
Versão VDF:	6.31.01.54

Vulgarmente Meio de transmissão:
   • Unidade de rede

Alias:
   • Symantec: W32.Cabreck
   • Mcafee: W32/CableNet.worm
   • Kaspersky: Worm.Win32.VB.at
   • TrendMicro: WORM_CABRECK.A
   • Sophos: W32/Cablenet-A
   • Grisoft: Worm/VB.DR
   • VirusBuster: Worm.Cablenet.A
   • Eset: Win32/VB.NCN
   • Bitdefender: Win32.Cablenet.A

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Altera o registo do Windows

Ficheiros É acrescentada uma secção a um ficheiro.
– Para: %WINDIR%\win.ini Com os conteúdos seguintes:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

É criado o seguinte ficheiro:

– %WINDIR%\Cable.ini É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
• "run"="Cable.exe"

P2P De modo a infectar sistemas na comunidade P2P executa a seguinte acção:

– Procura o seguintes directórios:
   • %raiz da unidade de sistema%
   • %WINDIR%

Procura por todos os directórios partilhados.

   Em caso de ser bem sucedido, são criados os seguintes ficheiros:
   • Cable.exe; FileCryptor.exe; Microsoft SP4.exe; Acrobat Reader.exe;
      Setup.exe; NAI Mcafee.exe; Norton AV.exe; PGP Free.exe; Password
      recovery.exe; KazzaP2P.exe; Download accelerator.exe; Linux
      Source.exe; Winzip.exe; Lotus app.exe; Netscape.exe; Money Manger.exe;
      Paypal.exe; FixMydoom.exe; BillSux.exe; MorpheusP2P.exe; E_donkey.exe;
      Calvin and Hobbes.exe

   Os ficheiros são cópias do próprio malware.

O directório partilhado pode ter a seguinte aparência:

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Visual Basic.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Irina Boldea em Tue, 16 May 2006 09:52 (GMT+1)
Descrição adicionada por Irina Boldea em Tue, 16 May 2006 10:39 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back