Worm/IBill.A - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/IBill.A
Data em que surgiu:	16/08/2006
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Médio
Nível de distribuição:	Médio
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	49.152 Bytes
MD5 checksum:	0E8990ec57d34a59211b4520d6afa10B
Versão VDF:	6.35.01.100
Versão IVDF:	6.35.01.101

Vulgarmente Meio de transmissão:
   • E-mail

Alias:

Identificado anteriormente como:
   • TR/Dldr.IBill.A

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Utiliza o seu próprio motor de E-mail
   • Altera o registo do Windows

Depois da execução executa um aplicação que exibe a janela seguinte:

Ficheiros Autocopia-se para a seguinte localização:
   • %SYSDIR%\mfcapi32u.exe

São criados os seguintes ficheiros:

– Ficheiro temporário que poderá ser apagado mais tarde:
   • %TEMPDIR%\nam%número hexadecimal%.tmp

– %TEMPDIR%\hack.txt É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • this is the joke

Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
   • http://traffall.biz/adv/053/**********
Encontra-se no disco rígido: C:\autoexeck.exe Além disso executa-se depois do download estar completo. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Dldr.Tibs.hh

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • mfcapi32u = %SYSDIR%\mfcapi32u.exe

Cria a seguinte entrada de forma a fazer um bypass à firewall do Windows XP:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • %directório de execução do malware%\%ficheiro executado% = %malware execution
      directory%\%ficheiro executado%:*:Enabled:%ficheiro executado%

E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:

De:
Endereços gerados. Não assuma que é intenção do remetente enviar este email para si. Ele pode não saber que tem o sistema infectado, pode mesmo não estar infectado. Além disso é provável que receba emails que digam que está infectado. Pode não ser o caso.
O remetente do e-mail é um dos seguintes:
   • Michel Madsen
   • Nick Convers
   • Jane Hoocks
   • Fred Dowland
   • Emely Hard
   • John Heckman
   • Piter Roslen
   • Oliver Simpson
   • Patrik Roberts
   • Lorence Newman

Para:
– Endereços de email encontrados em determinados ficheiros no sistema.

Formato do email:

Assunto: Thank you for your purchase in Bolero!
Body:
   • Hello!
     Thank you for your purchase in our Internet-shop. We always appreciate to meet you there and would like to inform you that money was successfully transferred from your credit card to our account. Further information you can find enclosed.
     Sincerely yours, Bolero Inetshop Administration

Assunto: Thank you for your registration!
Body:
   • Hello!
     Thank you for your rewrite in our mail server. The confirmation of you new login and password you can find enclosed.
     Sincerely yours, Mail Administration Service / Mail Support Service

Assunto: Pay for your credits!
Body:
   • Hello!
     We have to remain you that your credit payment period will be expiring next week. If you will not make your payment till that time we will have to withdraw your savings from your bank account.
     All details you can find enclosed.
     USA Credit Group.

Assunto: It's important!!! You still have not paid a fine!
Body:
   • Hello!
     We remain you that you still have not paid a parking violation fine. You should to pay it till the next week or we will have to reach trial the deal.
     We are sending you herewith all necessary documents.
     Sincerely yours, Regional Police Department Management / Administration

Assunto: Tank you for your charity
Body:
   • The St. Patrick Home thanks you for your donation. We are very obliged for your assistance with our St. Patrick's Found and acknowledge the receipt of your transfer for its account. Further to our letter we are sending you full estimate of that transfer.
     Sincerely yours, St. Patrick Home's Administration

Atalho:
O ficheiro de atalho tem um dos seguintes nomes:
   • message.zip
   • data.zip
   • logfile.zip

O ficheiro de atalho contém uma cópia do próprio malware.

O email pode ser parecido com um dos seguintes:

Mailing Pesquisa endereços:
Procura endereços de email nos seguintes ficheiros:
   • asa; asc; asm; asp; cfg; cgi; con; csp; dbx; dlt; dwt; edm; eml; hta;
      htc; htm; inc; jsp; jst; lbi; log; ods; oft; php; mbx; mdx; mht; mmf;
      msg; nch; rdf; rss; sht; ssi; stm; tbb; tbi; tpl; txt; uin; vbp; vbs;
      wab; wml; wsh; xht; xls; xml; xsd; xst

Endereços gerados para o campo DE:
Utiliza o seguinte texto para gerar endereços:
   • chubakka; obivan; presli; songking; yantchi; smitt; westford;
      goldgong; manager; bengamin; cristofer; albert; antony; martin;
      enigma; aleph; elvis; john; robin; ghost

Pode combinar a primeira cadeia de caracteres com um dos seguintes:
   • night; bsd; sys; big; bob; white; dark; black; oliver; yanli; brain;
      chan; katamoro; tsungli; killer; bug; sun; tr0n; lion; band1t; andi;
      alert; 2003; 2001; 2004; 2002; 2000; 2006; m4n; man

Tem um dos seguintes domínios:
   • mail.com
   • hotmail.com
   • msn.com
   • gmail.com

Endereços evitados:
Não envia emails para endereços com os seguintes blocos de texto:
   • certific; listserv; ntivi; support; admin; postmaster; root; samples;
      spam; noone; nobody; info; help; gold-certs; feste; contact; bugs;
      anyone; rating; secur; linux; unix; pgp; panda; google; sopho;
      icrosoft; avp; iana; foo; msn; gmail; hotmail

Adicinado texto MX ao início:
De forma a obter o endereço IP do servidor de email é adicionado (ao início) do nome de domínio o seguinte texto:
   • mail.

Informações diversas Mutex:
Cria o seguinte Mutex:
• PeyotCodedByHALT

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Wed, 16 Aug 2006 11:16 (GMT+1)
Descrição adicionada por Andrei Gherman em Thu, 17 Aug 2006 12:52 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back