Worm/Small.B.3 - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/Small.B.3
Descoperit pe data de:	03/06/2006
Tip:	Vierme
ITW:	Nu
Numar infectii raportate:	Scazut
Potential de raspandire:	Mediu
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	119.296 Bytes
MD5:	58180E0Dd5ff2df69979336c343e32f0
Versiune VDF:	6.34.01.182
Versiune IVDF:	6.34.01.188

General Metoda de raspandire:
   • Email

Alias:
   • Kaspersky: Email-Worm.Win32.Small.b
   • TrendMicro: WORM_SMALL.MS
   • Eset: Win32/PSW.Delf.NAM
   • Bitdefender: Win32.Olia.A@mm

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Creeaza fisiere
   • Creeaza un fisier malware
   • Utilizeaza propriul motor de email
   • Modificari in registri
   • Sustrage informatii

Imediat dupa lansarea in executie, pe ecran este afisat:

Fisiere Se copiaza in urmatoarele locatii:
   • %SYSDIR%\krnl32.dll
   • %directorul de activare malware%\photos.exe

Sunt create fisierele:

– Fisiere inofensive:
   • %SYSDIR%\photo1.jpg
   • %SYSDIR%\photo2.jpg
   • %SYSDIR%\photo3.jpg
   • %setarile utilizatorului%\photo1.jpg
   • %setarile utilizatorului%\photo2.jpg
   • %setarile utilizatorului%\photo3.jpg

– %SYSDIR%\krnl32.exe Fisierul este executat dupa ce a fost creat. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: Worm/Small.B.4

– %directorul de activare malware%\~$run.$$$ Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: Worm/Small.B.4

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• %SYSDIR%\krnl32.exe

Email Are un motor SMTP integrat. Va fi facuta o conexiune directa cu serverul destinatar. Iata caracteristicile lui:
Additionally it has the ability to send an email w (ro)

De la:
Expeditorul email-ului este unul din urmatorii:
   • Olia-muk@rambler.ru
   • ZanOlia@rambler.ru
   • oliechka84@rambler.ru

Catre:
– Adrese de email gasite pe sistem.
– Adrese de email obtinute din WAB (Windows Address Book)
– Adrese generate

Subiect:
Urmatorul:
   • %text in limba rusa% %data curenta% %ora curenta%

Corpul email-ului:
Corpul email-ului este:
   • %text in limba rusa%

Atasament:

   • photos.exe

   • photo1.jpg

   • photo2.jpg

   • photo3.jpg

Email Cautare adrese:
Cauta adrese de email in urmatoarele fisiere:
   • %temporary internet files%\*.htm
   • %temporary internet files%\*.html
   • %temporary internet files%\*.shtml
   • %temporary internet files%\*.phtml
   • %temporary internet files%\*.php
   • %temporary internet files%\*.txt
   • %temporary internet files%\*.pas
   • %temporary internet files%\*.tmp

Server MX:
Nu foloseste serverul MX implicit.
Se poate conecta la serverul MX:
   • mail.rambler.ru

Furt de informatii Incearca sa obtina urmatoarele informatii:
– Parole stocate, folosite de functia AutoComplete
– Informatii despre contul de email, obtinute din cheia de registru: HKCU\SoftwareMicrosoft\Internet Account Manager\Accounts

– Parolele din urmatoarele programe:
• The Bat!
• Opera

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: Delphi.

Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, sunt folosite urmatoarele programe de arhivare:
• ASPack
• UPX

Pentru o descriere scurta click aici.

Descriere introdusa de Andrei Gherman la Fri, 09 Jun 2006 13:53 (GMT+1)
Descriere actualizata de Andrei Gherman la Fri, 09 Jun 2006 14:18 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back