Worm/VB.DU.10 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/VB.DU.10
Data em que surgiu:	08/08/2007
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	De baixo a médio
Nível de risco:	Baixo
Ficheiro estático:	Não
Tamanho:	~55.000 Bytes
MD5 checksum:	166c0A98d40Cf7ceac4fdbd523ec751b
Versão VDF:	6.37.00.115
Versão IVDF:	6.37.00.119

Vulgarmente Alias:
   • Kaspersky: Worm.Win32.VB.du
   • F-Secure: Worm.Win32.VB.du
   • Sophos: W32/Rungbu-C
   • Panda: W32/Rungbu.B.worm
   • Grisoft: Worm/VB.BCN
   • Eset: Win32/VB.NHV worm
   • Bitdefender: Win32.Worm.Vb.DU

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega ficheiros
   • Baixa as definições de segurança
   • Altera o registo do Windows

Ficheiros Copia-se a si próprio para as seguintes localizações. São adicionados caracteres aleatórios no final dos ficheiros para serem diferentes dos originais.
   • %unidade%\Recycled\SVCHOST.EXE
   • %unidade%\Recycled\SPOOLSV.EXE
   • %unidade%\Recycled\CTFMON.EXE
   • %unidade%\Recycled\SMSS.EXE

São criados os seguintes ficheiros:

– Ficheiro temporário que poderá ser apagado mais tarde:
   • %directório de execução do malware%\%ficheiro executado%.!!!

– %TEMPDIR%\Flu Burung.txt É um ficheiro de texto não malicioso com o seguinte conteúdo:
   • ==========================
     ======= FLU BURUNG =======
      |
     = Oleh-oleh dari AMBON =
     | Katong pung jua bisa
      |
     ==========================
     ==========================
     Stamp: 02 July 2006, dan.....
     "SELAMAT ULTAH KE-20 Agnes Monica!"
     Bugs Bunny say "What's up doc?"
     Duffy Duck say "I'm infected doc"
     So at the end of story they save the screen.
     PAJAK? Semua hal kena pajak!
     Barang mewah kena pajak, nabung di bank tiap bulan potong pajak,
     penghasilan kena pajak, sampai makanan pun kena pajak.
     Indonesia penuh dengan pajak! Tidak heran penuh pembajak.
     Orang bijak bayar pajak, takut pajak jadi pembajak.
     Cuma udara yang dihirup yang tidak kena pajak, namun sudah tercemar
     dengan asap dan polutan. "Tanya kenapa?"
     (Raven codename DIP "05062705056127019455")
     MSG (Monosodium Glutamat) merupakan penyebab kebodohan yang berakibat kemalasan.
     Pantas bangsa Indonesia tidak bisa maju karena bangsanya bodoh.
     Hampir semua produk makanan Indonesia menggunakan MSG.
     Pemerintah harus segera menghapuskan penggunaan MSG dipasaran!
     Mungkin karena para pejabat dan wakil rakyat otaknya juga sudah penuh dengan MSG,
     jadi tidak dapat berpikir dengan benar!
     Atau mereka terpilih karena terpintar diantara yang terbodoh,
     ataukah memang sengaja membodohkan bangsa agar dapat korupsi dangan leluasa?
     (Raven codename DIP "05062705056127019455")
     Flu burung, masa sich burungnya bisa flu? Tanya kenapa?
     Awas bahaya flu burung, bahaya lo? Bisa RIP tau?
     (RIP "Rest in Peace"/Constantine)
     Rupiah kebanyakan angka! (Okinawa)
     Dimana sebenarnya pemerintah ??????
     Pemerintah sekarang ini lebih memilih uang uang dan uang.
     Malahan sekarang lebih lebih untuk masalah pilkada pilkada dan pilkada.
     Kita sebagai mahasiswa dan masyarakat merasa terasingkan dari perhatian pemerintah.
     Tanya kenapa ????
     Lihat saja pengangguran banyak sekali!!!
     Sebenarnya siapa yang bisa ngomongin dengan pemerintah ?????
     Aku????? Ga mungin lagi.
     Tapi mudah-mudahan pemerintah sadar sendiri aja yaaa!!!
     Slamat Muaaach!!! (Dino Gitchu)
     Idiiih....! (Trader)

Registry (Registo do Windows) Os valores da seguinte chave Registo são eliminados:

– [HKCR\scrfile\shell\config\command]
– [HKCR\scrfile\shell\config]
– [HKCR\scrfile\shell\install\command]
– [HKCR\scrfile\shell\install]

Altera as seguintes chaves de registo do Windows:

– [HKCR\Word.Document.8\DefaultIcon]
   Valor recente:
   • (Default)="%WINDIR%\Installer\{90280409-6000-11D3-8CFE-0050048383C9}\docicon.exe"

– [HKCR\scrfile]
   Valor recente:
   • (Default)="Microsoft Word Document"

– [HKCR\scrfile\shell\open]
   Valor recente:
   • (Default)="

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Valor recente:
   • Userinit="C:\recycled\SVCHOST.exe,"

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Valor recente:
   • Shell="Explorer.exe "C:\recycled\SVCHOST.exe""

– [HKCR\*]
   Valor recente:
   • QuickTip="prop:Type;Size"
     TileInfo="prop:Type;Size"
     InfoTip="prop:Type;Write;Size"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\HideFileExt]
   Valor recente:
   • UncheckedValue=dword:00000001
     CheckedValue=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Valor recente:
   • HideFileExt=dword:00000001
     ShowSuperHidden=dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   Valor recente:
   • CheckedValue=dword:00000000
     UncheckedValue=dword:00000000

Detalhes do ficheiro Linguagem de programação:
O programa de malware está escrito em Visual Basic.

Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com o seguinte empacotador de runtime:
• ASPack

Veja aqui uma breve descrição.

Descrição adicionada por Monica Ghitun em Thu, 08 Nov 2007 11:34 (GMT+1)
Descrição adicionada por Monica Ghitun em Fri, 09 Nov 2007 11:34 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back