Worm/IBill.A - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/IBill.A
Descoperit pe data de:	16/08/2006
Tip:	Vierme
ITW:	Da
Numar infectii raportate:	Mediu
Potential de raspandire:	Mediu
Potential de distrugere:	Scazut spre mediu
Fisier static:	Da
Marime:	49.152 Bytes
MD5:	0E8990ec57d34a59211b4520d6afa10B
Versiune VDF:	6.35.01.100
Versiune IVDF:	6.35.01.101

General Metoda de raspandire:
   • Email

Alias:

Initial identificat ca:
   • TR/Dldr.IBill.A

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Descarca un fisier malware
   • Utilizeaza propriul motor de email
   • Modificari in registri

Dupa activare, ruleaza un program Windows care afiseaza urmatoarea fereastra:

Fisiere Se copiaza in urmatoarea locatie:
   • %SYSDIR%\mfcapi32u.exe

Sunt create fisierele:

– Un fisier temporar care poate fi sters dupa aceea:
   • %TEMPDIR%\nam%numar hexazecimal%.tmp

– %TEMPDIR%\hack.txt Acesta este un fisier text care nu prezinta pericol si are urmatorul continut:
   • this is the joke

Incearca sa descarce un fisier:

– Adresa este urmatoarea:
   • http://traffall.biz/adv/053/**********
Fisierul este stocat pe hard disc la: C:\autoexeck.exe In plus, acest fisier este executat dupa ce este descarcat de pe Internet. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Dldr.Tibs.hh

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • mfcapi32u = %SYSDIR%\mfcapi32u.exe

Creeaza urmatoarea valoare, pentru a trece de Windows XP firewall:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • %directorul de activare malware%\%fisier executat% = %malware execution
      directory%\%fisier executat%:*:Enabled:%fisier executat%

Email Are un motor SMTP integrat. Va fi facuta o conexiune directa cu serverul destinatar. Iata caracteristicile lui:

De la:
Adrese generate. Va rugam nu presupuneti ca a fost intentia expeditorului sa va trimita acest email. Este posibil ca el sa nu stie ca este infectat sau chiar sa nu aiba sistemul infectat. In plus, este posibil sa primiti email-uri returnate care sa va indice ca sunteti infectat, lucru care poate fi de asemenea fals.
Expeditorul email-ului este unul din urmatorii:
   • Michel Madsen
   • Nick Convers
   • Jane Hoocks
   • Fred Dowland
   • Emely Hard
   • John Heckman
   • Piter Roslen
   • Oliver Simpson
   • Patrik Roberts
   • Lorence Newman

Catre:
– Adrese de email gasite pe sistem.

Formatul email-urilor:

Subiect: Thank you for your purchase in Bolero!
Corp mesaj:
   • Hello!
     Thank you for your purchase in our Internet-shop. We always appreciate to meet you there and would like to inform you that money was successfully transferred from your credit card to our account. Further information you can find enclosed.
     Sincerely yours, Bolero Inetshop Administration

Subiect: Thank you for your registration!
Corp mesaj:
   • Hello!
     Thank you for your rewrite in our mail server. The confirmation of you new login and password you can find enclosed.
     Sincerely yours, Mail Administration Service / Mail Support Service

Subiect: Pay for your credits!
Corp mesaj:
   • Hello!
     We have to remain you that your credit payment period will be expiring next week. If you will not make your payment till that time we will have to withdraw your savings from your bank account.
     All details you can find enclosed.
     USA Credit Group.

Subiect: It's important!!! You still have not paid a fine!
Corp mesaj:
   • Hello!
     We remain you that you still have not paid a parking violation fine. You should to pay it till the next week or we will have to reach trial the deal.
     We are sending you herewith all necessary documents.
     Sincerely yours, Regional Police Department Management / Administration

Subiect: Tank you for your charity
Corp mesaj:
   • The St. Patrick Home thanks you for your donation. We are very obliged for your assistance with our St. Patrick's Found and acknowledge the receipt of your transfer for its account. Further to our letter we are sending you full estimate of that transfer.
     Sincerely yours, St. Patrick Home's Administration

Atasament:
Numele fisierului atasat este unul din urmatoarele:
   • message.zip
   • data.zip
   • logfile.zip

Atasamentul este o arhiva ce contine chiar o copie malware.

Email-ul poate arata ca unul din urmatoarele:

Email Cautare adrese:
Cauta adrese de email in urmatoarele fisiere:
   • asa; asc; asm; asp; cfg; cgi; con; csp; dbx; dlt; dwt; edm; eml; hta;
      htc; htm; inc; jsp; jst; lbi; log; ods; oft; php; mbx; mdx; mht; mmf;
      msg; nch; rdf; rss; sht; ssi; stm; tbb; tbi; tpl; txt; uin; vbp; vbs;
      wab; wml; wsh; xht; xls; xml; xsd; xst

Genereaza adrese pentru campul expeditorului:
Pentru a genera adrese foloseste urmatoarele texte:
   • chubakka; obivan; presli; songking; yantchi; smitt; westford;
      goldgong; manager; bengamin; cristofer; albert; antony; martin;
      enigma; aleph; elvis; john; robin; ghost

Poate combina primul text cu unul din urmatoarele:
   • night; bsd; sys; big; bob; white; dark; black; oliver; yanli; brain;
      chan; katamoro; tsungli; killer; bug; sun; tr0n; lion; band1t; andi;
      alert; 2003; 2001; 2004; 2002; 2000; 2006; m4n; man

Domeniul este unul din urmatoarele:
   • mail.com
   • hotmail.com
   • msn.com
   • gmail.com

Adrese evitate:
Nu trimite email-uri la adrese care contin unul din urmatoarele siruri de caractere:
   • certific; listserv; ntivi; support; admin; postmaster; root; samples;
      spam; noone; nobody; info; help; gold-certs; feste; contact; bugs;
      anyone; rating; secur; linux; unix; pgp; panda; google; sopho;
      icrosoft; avp; iana; foo; msn; gmail; hotmail

Prefixeaza domeniile adreselor de email:
Pentru a afla IP-ul serverului de mail, adauga inaintea domeniului urmatorul sir de caractere:
   • mail.

Alte informatii Mutex:
Creeaza urmatorul mutex:
• PeyotCodedByHALT

Detaliile fisierului Limbaj de programare:
Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Pentru o descriere scurta click aici.

Descriere introdusa de Andrei Gherman la Wed, 16 Aug 2006 11:16 (GMT+1)
Descriere actualizata de Andrei Gherman la Thu, 17 Aug 2006 12:52 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back