Worm/Wigon.AB - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Wigon.AB
Data em que surgiu:	15/08/2007
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	De baixo a médio
Nível de distribuição:	De baixo a médio
Nível de risco:	Baixo
Ficheiro estático:	Sim
Tamanho:	20.992 Bytes
MD5 checksum:	570C666DCD49D81FEB036C14A3DC99BD
Versão VDF:	6.39.1.5
Versão IVDF:	6.39.1.5

Vulgarmente Meio de transmissão:
   • E-mail

Alias:
   • Kaspersky: Trojan-Downloader.Win32.Agent.brk
   • F-Secure: Trojan-Downloader.Win32.Agent.brk
   • Eset: a variant of Win32/TrojanDownloader.Agent.BRK

Versões não funcionais podem ser identificadas como:
   • Worm/Wigon.AB

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Descarrega ficheiros maliciosos
   • Utiliza o seu próprio motor de E-mail

Ficheiros Cria a seguinte pasta:
• %WINDIR%\temp

Altera o conteúdo de um ficheiro.
– %SYSDIR%\drivers\ip6fw.sys

São criados os seguintes ficheiros:

– %SYSDIR%\drivers\runtime2.sys Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: RKIT/Posh.A

– %TEMPDIR%\startdrv.exe Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: Worm/Wigon.A

Tenta efectuar o download do ficheiro:

– A partir da seguinte localização:
• http://66.246.252.215/**********
Encontra-se no disco rígido: %TEMPDIR%\%números aleatórios entre 0 e 9%8.exe Além disso executa-se depois do download estar completo. Outras investigações apontam para que este ficheiro, também, seja malware. Detectado como: TR/Wigon.AB

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"=%TEMPDIR%\startdrv.exe"

São adicionadas as seguintes chaves ao registo:

– HKLM\SYSTEM\CurrentControlSet\Services\ip6fw\Enum
   • "0"="Root\\LEGACY_IP6FW\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000]
   • "Service"="ip6fw"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="IPv6 Windows Firewall Driver"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ip6fw"

E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:

De:
O endereço do remetente é falsificado.
Endereços recolhidos na internet. Por favor não assuma que era intenção do remetente enviar este e-mail para si. Ele pode não saber que tem o computador infectado ou pode mesmo nem estar infectado. Além disso é possível que receba e-mails indicando que em
O remetente do e-mail é um dos seguintes:
   • "Abel Goldberg"
   • "Adrian Hobbs"
   • "Andrea Feldman"
   • "Angelo Wilkerson"
   • "Ariel Peck"
   • "Bradley Buckley"
   • "Brent Reeder"
   • "Casey Langford"
   • "Casey Meade"
   • "Cecil Stapleton"
   • "Claudette Waters"
   • "Claudine Conway"
   • "Dallas Doss"
   • "Darnell Kramer"
   • "Dewayne Meyers"
   • "Dion Dillard"
   • "Edward Blanchard"
   • "Gwen Lynn"
   • "Hazel French"
   • "Henry Mcintyre"
   • "Hershel Timmons"
   • "Ines Connolly"
   • "Jared Day"
   • "Joshua Wilkerson"
   • "Kaitlin Henson"
   • "Katheryn Amos"
   • "Kip Starks"
   • "Krystal Hand"
   • "Lamont Calloway"
   • "Lenard Clark"
   • "Louis Kane"
   • "Margaret Skinner"
   • "Michael Mcnamara"
   • "Myra Crockett"
   • "Noe Sweeney"
   • "Polly Proctor"
   • "Quinton Wu"
   • "Randal Zamora"
   • "Rena Russo"
   • "Rene May"
   • "Roderick Cornell"
   • "Rudy Kaufman"
   • "Russ Calvert"
   • "Sergio Bolden"
   • "Sherman Crowe"
   • "Sherry Proctor"
   • "Susana Short"
   • "Tamika Buck"
   • "Tanner Payne"
   • "Tanner Reece"
   • "Trina Ortega"
   • "Truman Silva"
   • "Twila Short"
   • "Victoria Bridges"
   • "Virgil Dahl"
   • "Will Bowman"
   • "Wilson Dukes"
   • "Winifred Hairston"
   • "Winston Earl"
   • "Abby William"
   • "Abdul Dawkins"
   • "Abe Watson"
   • "Albert Dobson"
   • "Alberto Mcqueen"
   • "Alejandra Haines"
   • "Amelia Bernard"
   • "Amie Dove"
   • "Andrea Guerra"
   • "Angelique Haas"
   • "Ann Crump"
   • "Anna Heath"
   • "Annie Porter"
   • "Belinda Wolff"
   • "Benita Hopkins"
   • "Bennie Mcintyre"
   • "Beverly Snider"
   • "Blanca Prince"
   • "Bradley Cummins"
   • "Bradly Kaiser"
   • "Brady Dukes"
   • "Brenda Atwood"
   • "Brent Johns"
   • "Brice Brunson"
   • "Bridgett Henderson"
   • "Britney Vincent"
   • "Bruno Simons"
   • "Buford Bonds"
   • "Burton Lovett"
   • "Camille Mayberry"
   • "Carmen Bush"
   • "Cathryn Best"
   • "Celina Herbert"
   • "Chance Whitman"
   • "Charity Darling"
   • "Charlie Bonilla"
   • "Clara Meza"
   • "Claudia Fernandez"
   • "Claudio Frazier"
   • "Coleman Souza"
   • "Connie Alexander"
   • "Constance Kirby"
   • "Craig Washburn"
   • "Cristina Vincent"
   • "Damon Massey"
   • "Dante Dougherty"
   • "Darin Lancaster"
   • "Daryl Root"
   • "Deann Harding"
   • "Derick Wilder"
   • "Dion Gill"
   • "Dorothea Fleming"
   • "Dwayne Snow"
   • "Edith Burton"
   • "Eduardo Macdonald"
   • "Edwardo Brunson"
   • "Efren Walden"
   • "Eli Finn"
   • "Elise Quinones"
   • "Elnora Wagner"
   • "Elsie Fischer"
   • "Erin Carlisle"
   • "Ernestine Novak"
   • "Ernie Dickey"
   • "Errol Kent"
   • "Eugenia Snyder"
   • "Evangelina Nguyen"
   • "Evangelina Perkins"
   • "Forest Kinney"
   • "Frieda Guidry"
   • "Fritz Reeves"
   • "Gale Waters"
   • "Gavin Barry"
   • "Gayle Otto"
   • "Gina Lundy"
   • "Glen Valencia"
   • "Glenda Bartley"
   • "Glenn Matthews"
   • "Gregory Sosa"
   • "Gretchen Hodge"
   • "Gustavo Woodson"
   • "Guy Morin"
   • "Harry Dean"
   • "Henrietta Rucker"
   • "Hunter Pickens"
   • "Ilene Souza"
   • "Israel Duarte"
   • "Jamal Ortega"
   • "Jamie Sykes"
   • "Jan Gamble"
   • "Jayson Wiseman"
   • "Jeff Steele"
   • "Jeffery Steiner"
   • "Jenna Rodgers"
   • "Jim Perkins"
   • "Jo Reese"
   • "Joan Roper"
   • "Jody Holcomb"
   • "John Hays"
   • "Johnathan Christensen"
   • "Johnie Bruno"
   • "Joni Vera"
   • "Josephine Woodward"
   • "Jules Ward"
   • "Juliet Maddox"
   • "Justine Gipson"
   • "Karla Robbins"
   • "Kate Carrillo"
   • "Kent Albert"
   • "Kermit Gunter"
   • "Krystal Jensen"
   • "Lacy Boswell"
   • "Larry Davila"
   • "Laurence Babb"
   • "Laverne Middleton"
   • "Leanna Spears"
   • "Leon Alexander"
   • "Les Stanley"
   • "Lora Connor"
   • "Lorie Buckner"
   • "Lorrie Herring"
   • "Luann Tapia"
   • "Lucile Beck"
   • "Lupe Terrell"
   • "Mable Cortez"
   • "Mac Floyd"
   • "Mack Hutchins"
   • "Malcolm Nava"
   • "Mari Rich"
   • "Mariano Herring"
   • "Marie Boucher"
   • "Marty Earl"
   • "Maryanne Cortes"
   • "Melvin Goodwin"
   • "Merrill Gilbert"
   • "Mickey Guthrie"
   • "Misty Flowers"
   • "Moises Clemons"
   • "Mollie Brooks"
   • "Monica Davison"
   • "Myrtle Gentry"
   • "Nadine Odom"
   • "Neal Monroe"
   • "Noel Aragon"
   • "Olive Richards"
   • "Oliver Adams"
   • "Otis Smith"
   • "Patrice Malone"
   • "Rachelle Garland"
   • "Randal Yu"
   • "Richard Cook"
   • "Roberta Bright"
   • "Ronny Johns"
   • "Roosevelt Salgado"
   • "Rosario Daly"
   • "Roseann Browning"
   • "Rosemarie Poole"
   • "Roy Shipley"
   • "Rubin Webb"
   • "Rupert Conrad"
   • "Russell Chacon"
   • "Sanford Nicholson"
   • "Sarah Gipson"
   • "Scotty Bartley"
   • "Sebastian Reeves"
   • "Shane Tipton"
   • "Shauna Prather"
   • "Sheila Coleman"
   • "Shelia Haas"
   • "Shirley Hedrick"
   • "Sofia Lutz"
   • "Stefan Wilkinson"
   • "Stephan Wiseman"
   • "Susie Carroll"
   • "Sylvester Carson"
   • "Tad Melendez"
   • "Tameka Richardson"
   • "Tammy Sheehan"
   • "Tania Kaiser"
   • "Tanisha Lockhart"
   • "Tara Golden"
   • "Tara Wallace"
   • "Terrie Denton"
   • "Therese Sorensen"
   • "Tia Delarosa"
   • "Tomas Conner"
   • "Tommie Nguyen"
   • "Traci Collier"
   • "Trinidad Akins"
   • "Tyson Thomson"
   • "Van French"
   • "Vicky Blackmon"
   • "Vito Frost"
   • "Wade Arellano"
   • "Warren Bloom"
   • "Willie Vickers"
   • "Young Calhoun"

Para:
– Endereços recolhidos na internet:

Assunto:
Um dos seguintes:
   • Here is it
   • Hot game
   • Hot pictures
   • Something hot
   • You ask me about this game, Here is it

O corpo do email é um dos seguintes:

   • , !
     Funny game. fucks ... In your attachemnt.



   • , !
     Amusing game. fucks ... In your attachemnt.

Continuado com um dos seguintes:

   • Bye.

   • Best Regards.

   • Thanks.

   • Regards.

%o substituto 1% pode ser extendido a um dos seguintes:
   • Hi
   • Good morning
   • Good afternoon
   • Good evening
   • Good Day
   • Hello
   • Helo

%o substituto 2% é extendido a um dos seguintes:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%o substituto 3% é extendido a um dos seguintes:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%o substituto 4% é extendido a um dos seguintes:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

Atalho:
O ficheiro de atalho tem o seguinte nome:
   • isit.zip

O ficheiro de atalho contém uma cópia do próprio malware.

Veja aqui uma breve descrição.

Descrição adicionada por Lutz Koch em Wed, 15 Aug 2007 13:47 (GMT+1)
Descrição adicionada por Lutz Koch em Wed, 15 Aug 2007 16:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back