Worm/Agent.ax - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Agent.ax
Data em que surgiu:	04/05/2007
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	Médio
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	196.608 Bytes
MD5 checksum:	3ea03f98dcbdc2497e5f7d9ed9065f1f
Versão IVDF:	6.38.01.92 - Sat, 05 May 2007 11:55 (GMT+1)

Vulgarmente Meio de transmissão:
   • E-mail

Alias:
   • Kaspersky: Email-Worm.Win32.Agent.ax
   • F-Secure: Email-Worm.Win32.Agent.ax
   • Grisoft: Agent.PGE
   • Eset: Win32/Agent.NHE

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Utiliza o seu próprio motor de E-mail
   • Altera o registo do Windows
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %SYSDIR%\%uma série de caracteres aleatórios%.exe

Apaga a cópia executada inicialmente.

Registry (Registo do Windows) É adicionado o seguinte valor ao registo do Windows de forma a que o processo seja executado depois do computador ser reiniciado:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • %uma série de caracteres aleatórios% = %uma série de caracteres aleatórios%.exe

Adiciona a seguinte chave ao registo do Windows para executar o serviço ao iniciar o sistema:

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %uma série de caracteres aleatórios%]
   • Type = 10
   • Start = 2
   • ErrorControl = 0
   • ImagePath = %SYSDIR%\%uma série de caracteres aleatórios%.exe /service
   • DisplayName = Print Spooler Service
   • ObjectName = LocalSystem

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %uma série de caracteres aleatórios%\Security]
   • Security = %valores hex%

E-mail Contém um motor de SMTP integrado para enviar e-mails de Spam. É estabelecida uma ligação directa com o servidor de destino. As características são as seguintes:

De:
Endereços recolhidos na internet. Por favor não assuma que era intenção do remetente enviar este e-mail para si. Ele pode não saber que tem o computador infectado ou pode mesmo nem estar infectado. Além disso é possível que receba e-mails indicando que em

Para:
– Endereços recolhidos na internet:

Backdoor Contacta o servidor:
Seguintes:
   • **********:447 (TCP)
   • **********:447 (UDP)

Depois de ligado obtém uma lista adicional de servidores.
Como resultado é dada capacidade de controlo remoto.

Capacidades de controlo remoto:
    • Envia emails
    • Relacionado com SPAM

Informações diversas Mutex:
Cria o seguinte Mutex:
• 558125581

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Andrei Gherman em Wed, 19 Mar 2008 10:53 (GMT+1)
Descrição adicionada por Andrei Gherman em Wed, 19 Mar 2008 11:20 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back