Worm/Ntech.C - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Ntech.C
Data em que surgiu:	08/08/2007
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Não
Tamanho:	20.992 Bytes
Versão IVDF:	6.39.00.221

Informação importante • Análise incompleta. Por favor volte mais tarde para verificar mais detalhes.

Vulgarmente Meio de transmissão:
   • E-mail

Sistemas Operativos:
   • Windows NT
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Descarrega ficheiros maliciosos
   • Utiliza o seu próprio motor de E-mail

Ficheiros Cria a seguinte pasta:
   • %WINDIR%\temp\

Altera o conteúdo de um ficheiro.
– %SYSDIR%\driver\secdrv.sys

São criados os seguintes ficheiros:

– %SYSDIR%\driver\runtime.sys Além disso executa-se depois de gerado. Detectado como: RKit/Posh.A

– %WINDIR%\temp\startdrv.exe Detectado como: Worm/Ntech.C

– %SYSDIR%\driver\runtime2.sys Detectado como: RKit/Posh.A

Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
   • http://67.18.114.98/**********
Encontra-se no disco rígido: %TEMPDIR%\%números aleatórios entre 0 e 9%8.exe Além disso executa-se depois do download estar completo. Outras investigações apontam para que este ficheiro, também, seja malware.

Tenta executar o seguinte ficheiro:

– Executa um dos seguintes ficheiros:
   • %SYSDIR%\driver\runtime2.sys
Esconde processos no Gestor de Tarefas. Detectado como: RKit/Posh.A

Registry (Registo do Windows) Um dos seguintes valores é adicionado para executar o processo depois reinicializar:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"="%WINDIR%\Temp\startdrv.exe"

São adicionados os seguintes valores ao registo do Windows de forma a que os serviços sejam carregados depois do computador ser reiniciado:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SECDRV\0000\Control\
   ActiveService
   • Secdrv

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME\0000\Control\
   ActiveService
   • runtime

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME2\0000\Control\
   ActiveService
   • runtime2

E-mail Contém um motor de SMTP integrado para enviar e-mails de Spam. É estabelecida uma ligação directa com o servidor de destino. As características são as seguintes:

De:
Endereços recolhidos na internet. Por favor não assuma que era intenção do remetente enviar este e-mail para si. Ele pode não saber que tem o computador infectado ou pode mesmo nem estar infectado. Além disso é possível que receba e-mails indicando que em

Para:
– Endereços recolhidos na internet:

Assunto:
Um dos seguintes:
   • A pretty-pretty fly
   • Always ready
   • Anything else?
   • Enjoy with you hard stick
   • Here is it
   • Hot game
   • Hot pictures
   • Joy stick
   • Magic is real
   • Magic stick
   • Something hot
   • Super stick
   • To be or not to be. To be...
   • Very-very magic stick
   • You ask me about this game, Here is it
   • You can...

O assunto não contém texto.
O assunto tem caracteres aleatórios.

Corpo:
O corpo do email é um dos seguintes:

   • , !

     Funny game. fucks ... In your attachemnt.

   • , !

     Amusing game. fucks ... In your attachemnt.

Continuado com um dos seguintes:

   • Best Regards.

   • Bye.

   • Good Bye.

   • Regards.

   • Thanks.

%o substituto 1% pode ser extendido a um dos seguintes:
   • Good afternoon
   • Good Day
   • Good evening
   • Good morning
   • Hello
   • Helo
   • Hi

%o substituto 2% é extendido a um dos seguintes:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%o substituto 3% é extendido a um dos seguintes:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%o substituto 4% é extendido a um dos seguintes:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

Atalho:

O ficheiro de atalho contém uma cópia do próprio malware.

O email pode ser parecido com um dos seguintes:

Backdoor Contacta o servidor:
Seguinte:
• 216.195.61.87:2581

Capacidades de controlo remoto:
• Envia emails

Tecnologia de Rootkit – Os seus próprios ficheiros
– Os seus próprios processos

Forma utilizada
    • Escondido da Tabela de Descriptores Interrupção (IDT)

Bloqueia as seguintes funções API:
   • ZwDeleteValueKey
   • ZwEnumerateKey
   • ZwOpenKey
   • ZwSetValueKey

Veja aqui uma breve descrição.

Descrição adicionada por Viktor Graeber em Wed, 08 Aug 2007 12:36 (GMT+1)
Descrição adicionada por Andrei Ivanes em Thu, 09 Aug 2007 09:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back