Worm/Small.B.3 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Small.B.3
Data em que surgiu:	03/06/2006
Tipo:	Worm
Incluído na lista "In The Wild"	Não
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	119.296 Bytes
MD5 checksum:	58180E0Dd5ff2df69979336c343e32f0
Versão VDF:	6.34.01.182
Versão IVDF:	6.34.01.188

Vulgarmente Meio de transmissão:
   • E-mail

Alias:
   • Kaspersky: Email-Worm.Win32.Small.b
   • TrendMicro: WORM_SMALL.MS
   • Eset: Win32/PSW.Delf.NAM
   • Bitdefender: Win32.Olia.A@mm

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Descarrega um ficheiro malicioso
   • Utiliza o seu próprio motor de E-mail
   • Altera o registo do Windows
   • Informação de roubos

Depois de executado é visualizada a seguinte informação:

Ficheiros Autocopia-se para as seguintes localizações
   • %SYSDIR%\krnl32.dll
   • %directório de execução do malware%\photos.exe

São criados os seguintes ficheiros:

– Ficheiros não maliciosos:
   • %SYSDIR%\photo1.jpg
   • %SYSDIR%\photo2.jpg
   • %SYSDIR%\photo3.jpg
   • %definições do utilizador %\photo1.jpg
   • %definições do utilizador %\photo2.jpg
   • %definições do utilizador %\photo3.jpg

– %SYSDIR%\krnl32.exe Além disso executa-se depois de gerado. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: Worm/Small.B.4

– %directório de execução do malware%\~$run.$$$ Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: Worm/Small.B.4

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• %SYSDIR%\krnl32.exe

E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:
Adicionalmente tem a capaiade de enviar um e-mail com informação sobre o sistema. É provável que o destinatário seja o autor.

De:
O remetente do e-mail é um dos seguintes:
   • Olia-muk@rambler.ru
   • ZanOlia@rambler.ru
   • oliechka84@rambler.ru

Para:
– Endereços de email encontrados em determinados ficheiros no sistema.
– Endereços de e-mail recolhidos do WAB (Windows Address Book).
– Endereços gerados

Assunto:
O seguinte:
   • %texto em russo% % data actual% %hora actual%

Corpo:
O corpo do email é o seguinte:
   • %texto em russo%

Atalho:

   • photos.exe

   • photo1.jpg

   • photo2.jpg

   • photo3.jpg

Mailing Pesquisa endereços:
Procura endereços de email nos seguintes ficheiros:
   • %temporary internet files%\*.htm
   • %temporary internet files%\*.html
   • %temporary internet files%\*.shtml
   • %temporary internet files%\*.phtml
   • %temporary internet files%\*.php
   • %temporary internet files%\*.txt
   • %temporary internet files%\*.pas
   • %temporary internet files%\*.tmp

MX Server:
Não usa o servidor de MX standard.
Tem capacidade para contactar o servidor MX:
   • mail.rambler.ru

Roubos de informação Tenta roubar a seguinte informação:
– Palavras-chave guardadas e que são usadas pela função AutoComplete
– Informações da conta de e-mail obtidas da chave de registo: HKCU\Software\Microsoft\Internet Account Manager\Accounts

– As palavras-chave dos seguintes programas:
• The Bat!
• Opera

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em Delphi.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com os seguintes empacotadores de runtime
• ASPack
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Fri, 09 Jun 2006 13:53 (GMT+1)
Descrição adicionada por Andrei Gherman em Fri, 09 Jun 2006 14:18 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back