Worm/AutoIt.B - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/AutoIt.B
Data em que surgiu:	20/09/2006
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	De baixo a médio
Nível de risco:	De baixo a médio
Ficheiro estático:	Sim
Tamanho:	181.472 Bytes
MD5 checksum:	2c978e0144ec56646a527473b87ebb6b
Versão VDF:	6.36.00.36
Versão IVDF:	6.36.00.46

Vulgarmente Meio de transmissão:
   • Messenger

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Altera o registo do Windows

Ficheiros Autocopia-se para as seguintes localizações
• %WINDIR%\svchost32.exe
• %temporary internet files%\Content.IE5\C5MBSP2B\host[1].jpg

Registry (Registo do Windows) São adicionadas as seguintes chaves ao registo:

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.geocities.co.jp/**********"
   • "Window Title"="Viva TermeX !"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="c:\windows\\svchost32.exe"

O seguinte valor do registo é alterado:

Home page do Internet Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Valor anterior:
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001
   Valor recente:
   • "DisableTaskMgr"=%definições do utilizador %
   • "DisableRegistryTools"=%definições do utilizador %

Messenger Propaga-se através do Messenger. Tem as seguintes características:

– Yahoo Messenger

Para:
Todas as entradas na lista de contactos.

Mensagem
A mensagem enviada parece-se com uma das seguintes:

   • the only way to clean some online viruses that may lead you into troubles : %link% <<

   • A new dangerous computer virus that can destroys all your data has just been released . Click here to know how to avoid it : %link% <<

   • have you ever seen such a silly man like this ? %link% =))

   • Just check out my new personal website : %link% C00l !!!

   • Now you can avoid some critical online viruses by updating Windows . Click here to know how to Update your Windows : %link%

   • wtf is this ? Wanna give me a shit ? %link% x-( <<

   • Let's vote for Miss Vietnam - Mai Phuong Thuy - for the upcoming Miss World championship : %link% !!

   • cool girls : %link% :x:x:x:x:x

   • Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: %link%

   • making money online never be easier : %link%

   • di'nh virus ru`i =)) du`ng cai nay ma diet na`y : %link%

   • Download free MP3s : %link% <<

   • ha`i dek chiu dc =)) %link% =)) =))

%link%
Enquanto a curinga é uma das seguintes:
   • http://www.geocities.co.jp/**********
   • http://www.geocities.co.jp/**********

As mensagens recebidas têm a seguinte aparência:

Detalhes do ficheiro Linguagem de programação:
Ficheiro escrito em MS Visual C++.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• UPX

Veja aqui uma breve descrição.

Descrição adicionada por Victor Tone em Mon, 18 Sep 2006 10:26 (GMT+1)
Descrição adicionada por Victor Tone em Wed, 20 Sep 2006 14:40 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back