Worm/NetSky.AM - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/NetSky.AM
Descoperit pe data de:	28/09/2005
Tip:	Vierme
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Mediu
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	33.280 Bytes
MD5:	0ab51a0826abca7ad25fb3e5797a8f09
Versiune VDF:	6.32.0.49

General Metoda de raspandire:
   • Email

Alias:
   • Symantec: W32.Mytob.EE@mm
   • Mcafee: W32/Mytob.gen@MM
   • Kaspersky: Net-Worm.Win32.Mytob.cz
   • TrendMicro: WORM_MYTOB.KR
   • Bitdefender: Win32.Mydoom.BA@mm

Sistem de operare:
   • Windows 2000
   • Windows XP

Efecte secundare:
   • Blocheaza accesul la website-uri ale firmelor de securitate
   • Inchide aplicatiile de securitate
   • Utilizeaza propriul motor de email
   • Reduce setarile de securitate
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Fisiere Se copiaza in urmatoarea locatie:
• %SYSDIR%\scrigz.exe

Sterge copia initiala a virusului.

Registrii sistemului Urmatoarele chei sunt adaugate in registri, in mod repetat, pentru a asigura pornirea procesului dupa reboot.

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
• "RAX SYSTEM"="scrigz.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
• "RAX SYSTEM"="scrigz.exe"

Email Are un motor SMTP integrat. Va fi facuta o conexiune directa cu serverul destinatar. Iata caracteristicile lui:

De la:
Adresa este falsificata.
Adrese generate. Va rugam nu presupuneti ca a fost intentia expeditorului sa va trimita acest email. Este posibil ca el sa nu stie ca este infectat sau chiar sa nu aiba sistemul infectat. In plus, este posibil sa primiti email-uri returnate care sa va indice ca sunteti infectat, lucru care poate fi de asemenea fals.

Catre:
– Adrese de email gasite pe sistem.
– Adrese de email obtinute din WAB (Windows Address Book)
– Adrese generate

Subiect:
Unul din urmatoarele:
   • *DETECTED* Online User Violation
   • Email Account Suspension
   • Important Notification
   • Members Support
   • Notice of account limitation
   • Security measures
   • Warning Message: Your services near to be closed.
   • You have successfully updated your password
   • Your Account is Suspended
   • Your Account is Suspended For Security Reasons
   • Your new account password is approved
   • Your password has been successfully updated
   • Your password has been updated

In plus, subiectul email-ului ar putea contine litere aleatoare.

Corpul email-ului:
Corpul email-ului este unul din textele:

   • Dear user %username from receivers email address%,

     It has come to our attention that your %domeniul destinatarului din adresa de email% User Profile ( x ) records are out of date. For further details see the attached document.

     Thank you for using %domeniul destinatarului din adresa de email%!
     The %domeniul destinatarului din adresa de email% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %domeniul destinatarului din adresa de email% Antivirus - www.%domeniul destinatarului din adresa de email%

   • Dear user %username from receivers email address%,

     You have successfully updated the password of your %domeniul destinatarului din adresa de email% account.

     If you did not authorize this change or if you need assistance with your account, please contact %domeniul destinatarului din adresa de email% customer service at: %adresa expeditorului%

     Thank you for using %domeniul destinatarului din adresa de email%!
     The %domeniul destinatarului din adresa de email% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %domeniul destinatarului din adresa de email% Antivirus - www.%domeniul destinatarului din adresa de email%

   • Dear %domeniul destinatarului din adresa de email% Member,

     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

     If you choose to ignore our request, you leave us no choice but to cancel your membership.

     Virtually yours,
     The %domeniul destinatarului din adresa de email% Support Team

     +++ Attachment: No Virus found
     +++ %domeniul destinatarului din adresa de email% Antivirus - www.%domeniul destinatarului din adresa de email%

   • Dear %domeniul destinatarului din adresa de email% Member,

     We have temporarily suspended your email account %adresa destinatarului%.
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of
     subscription due to an internal error within our processors.
     See the details to reactivate your %adresa destinatarului% account.

     Sincerely,
     The %domeniul destinatarului din adresa de email% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %domeniul destinatarului din adresa de email% Antivirus - www.%domeniul destinatarului din adresa de email%

Atasament:
Numele fisierelor atasate este alcatuit dupa cum urmeaza:

– Incepe cu unul din urmatoarele:
   • accepted-password
   • account-details
   • account-info
   • account-password
   • account-report
   • approved-password
   • document
   • email-details
   • email-password
   • important-details
   • new-password
   • password
   • readme
   • updated-password
   • %combinatie de caractere aleatoare%

    Extensia fisierului este una din urmatoarele:
   • zip

Atasamentul este o copie malware.

Email-ul arata astfel:

Email Cautare adrese:
Cauta adrese de email in urmatoarele fisiere:
   • adb; asp; cgi; dbx; htm; html; jsp; php; sht; tbb; wab; xml

Genereaza adrese pentru campul expeditorului:
Pentru a genera adrese foloseste urmatoarele texte:
   • admin
   • administrator
   • info
   • mail
   • register
   • service
   • support
   • webmaster

Combina acest rezultat cu domeniile gasite in fisierele in care a cautat anterior adrese.

Genereaza adrese pentru campul destinatarului:
Pentru a genera adrese foloseste urmatoarele texte:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom

Combina acest rezultat cu domeniile gasite in fisierele in care a cautat anterior adrese.

Adrese evitate:
Nu trimite email-uri la adrese care contin unul din urmatoarele siruri de caractere:
   • .edu; .gov; .mil; abuse; accoun; acketst; anyone; arin.; avp;
      be_loyal:; berkeley; borlan; bsd; bugs; certific; contact; example;
      fcnz; feste; fido; foo.; fsf.; gnu; gold-certs; google; gov.; help;
      hotmail; iana; ibm.com; icrosof; icrosoft; ietf; inpris; isc.o; isi.e;
      kernel; linux; listserv; math; mit.e; mozilla; msn.; mydomai; nobody;
      nodomai; noone; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; root; ruslis; samples; secur;
      sendmail; site; soft; somebody; someone; sopho; spm; submit; syma;
      tanford.e; the.bat; unix; usenet; utgers.ed; www; you; your

Prefixeaza domeniile adreselor de email:
Pentru a afla IP-ul serverului de mail, poate adauga inaintea domeniului urmatoarele siruri de caractere:
   • gate
   • mail
   • mail1
   • mx
   • mx1
   • mxs
   • ns
   • relay
   • smtp

IRC Pentru a trimite informatii si pentru a fi controlat se conecteaza la serverul IRC:

Server: rax.**********ihax.info
Port: 43287
Canal: #skyelite
Nick: [X]%sir de 6 caractere aleatoare%

– In plus, poate efectua urmatoarele operatii:
    • descarcare fisier
    • executarea unui fisier
    • terminare proces malware
    • Se actualizeaza singur

Fisiere host Fisierul

– In acest caz inregistrarile existente raman nemodificate.

– Accesul la urmatoarele domenii este blocat:
   • avp.com; ca.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; ebay.com; f-secure.com; kaspersky.com;
      kaspersky-labs.com; liveupdate.symantec.com;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      microsoft.com; moneybookers.com; my-etrust.com; nai.com;
      networkassociates.com; pandasoftware.com; paypal.com; rads.mcafee.com;
      secure.nai.com; securityresponse.symantec.com; sophos.com;
      symantec.com; trendmicro.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; viruslist.com; virustotal.com;
      www.amazon.ca; www.amazon.co.uk; www.amazon.com; www.amazon.fr;
      www.avp.com; www.ca.com; www.ebay.com; www.f-secure.com;
      www.grisoft.com; www.kaspersky.com; www.mcafee.com; www.microsoft.com;
      www.moneybookers.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.pandasoftware.com; www.paypal.com;
      www.sophos.com; www.symantec.com; www.trendmicro.com;
      www.viruslist.com; www.virustotal.com

Terminarea proceselor Lista cu procesele oprite:
   • _AVP32.EXE; _AVPCC.EXE; _AVPM.EXE; CMD.EXE; NEC.EXE; TASKMGR.EXE;
      VSHWIN32.EXE; VSISETUP.EXE; VSMAIN.EXE; VSMON.EXE; VSSTAT.EXE;
      VSWIN9XE.EXE; VSWINNTSE.EXE; VSWINPERSE.EXE; W32DSM89.EXE; W9X.EXE;
      WATCHDOG.EXE; WEBDAV.EXE; WEBSCANX.EXE; WEBTRAP.EXE; WFINDV32.EXE;
      WHOSWATCHINGME.EXE; WIMMUN32.EXE; WIN32.EXE; WIN32US.EXE;
      WINACTIVE.EXE; WIN-BUGSFIX.EXE; WINDOW.EXE; WINDOWS.EXE; WININETD.EXE;
      WININIT.EXE; WININITX.EXE; WINLOGIN.EXE; WINMAIN.EXE; WINNET.EXE;
      WINPPR32.EXE; WINRECON.EXE; WINSERVN.EXE; WINSSK32.EXE; WINSTART.EXE;
      WINSTART001.EXE; WINTSK32.EXE; WINUPDATE.EXE; WKUFIND.EXE; WNAD.EXE;
      WNT.EXE; WRADMIN.EXE; WRCTRL.EXE; WSBGATE.EXE; WUPDATER.EXE;
      WUPDT.EXE; WYVERNWORKSFIREWALL.EXE; XPF202EN.EXE; ZAPRO.EXE;
      ZAPSETUP3001.EXE; ZATUTOR.EXE; ZONALM2601.EXE; ZONEALARM.EXE

Urmatorul serviciu este dezactivat:
   • SharedAccess

Alte informatii Creeaza urmatorul mutex:
• H-E-L-L-B-O-T-P-O-L-Y-M-O-R-P-H

Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Iulia Diaconescu la Thu, 29 Sep 2005 09:08 (GMT+1)
Descriere actualizata de Iulia Diaconescu la Tue, 18 Oct 2005 17:26 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back