Worm/Wigon.AB - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/Wigon.AB
Descoperit pe data de:	15/08/2007
Tip:	Vierme
ITW:	Da
Numar infectii raportate:	Scazut spre mediu
Potential de raspandire:	Scazut spre mediu
Potential de distrugere:	Scazut
Fisier static:	Da
Marime:	20.992 Bytes
MD5:	570C666DCD49D81FEB036C14A3DC99BD
Versiune VDF:	6.39.1.5
Versiune IVDF:	6.39.1.5

General Metoda de raspandire:
   • Email

Alias:
   • Kaspersky: Trojan-Downloader.Win32.Agent.brk
   • F-Secure: Trojan-Downloader.Win32.Agent.brk
   • Eset: a variant of Win32/TrojanDownloader.Agent.BRK

Versiuni nefunctionale pot fi identificate ca:
   • Worm/Wigon.AB

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Descarca un fisier malware
   • Creeaza fisiere malware
   • Utilizeaza propriul motor de email

Fisiere Creeaza urmatorul director:
• %WINDIR%\temp

Suprascrie un fisier.
– %SYSDIR%\drivers\ip6fw.sys

Sunt create fisierele:

– %SYSDIR%\drivers\runtime2.sys Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: RKIT/Posh.A

– %TEMPDIR%\startdrv.exe Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: Worm/Wigon.A

Incearca sa descarce un fisier:

– Adresa este urmatoarea:
• http://66.246.252.215/**********
Fisierul este stocat pe hard disc la: %TEMPDIR%\%cateva numere aleatoare de la 0 la 9%8.exe In plus, acest fisier este executat dupa ce este descarcat de pe Internet. Analiza ulterioara a relevat ca si acest fisier este malware. Detectat ca: TR/Wigon.AB

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"=%TEMPDIR%\startdrv.exe"

Urmatoarele chei sunt adaugate in registrii sistemului:

– HKLM\SYSTEM\CurrentControlSet\Services\ip6fw\Enum
   • "0"="Root\\LEGACY_IP6FW\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000]
   • "Service"="ip6fw"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="IPv6 Windows Firewall Driver"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ip6fw"

Email Are un motor SMTP integrat. Va fi facuta o conexiune directa cu serverul destinatar. Iata caracteristicile lui:

De la:
Adresa este falsificata.
Adrese obţinute de pe Internet. Vă rugăm nu presupuneţi că a fost intenţia expeditorului să vă trimită acest email. Este posibil ca el să nu ştie că este infectat sau chiar să nu aibă sistemul infectat. În plus, este posibil să primiţi email-uri returnate care să vă indice că sunteţi infectat, lucru care poate fi de asemenea fals.
Expeditorul email-ului este unul din urmatorii:
   • "Abel Goldberg"
   • "Adrian Hobbs"
   • "Andrea Feldman"
   • "Angelo Wilkerson"
   • "Ariel Peck"
   • "Bradley Buckley"
   • "Brent Reeder"
   • "Casey Langford"
   • "Casey Meade"
   • "Cecil Stapleton"
   • "Claudette Waters"
   • "Claudine Conway"
   • "Dallas Doss"
   • "Darnell Kramer"
   • "Dewayne Meyers"
   • "Dion Dillard"
   • "Edward Blanchard"
   • "Gwen Lynn"
   • "Hazel French"
   • "Henry Mcintyre"
   • "Hershel Timmons"
   • "Ines Connolly"
   • "Jared Day"
   • "Joshua Wilkerson"
   • "Kaitlin Henson"
   • "Katheryn Amos"
   • "Kip Starks"
   • "Krystal Hand"
   • "Lamont Calloway"
   • "Lenard Clark"
   • "Louis Kane"
   • "Margaret Skinner"
   • "Michael Mcnamara"
   • "Myra Crockett"
   • "Noe Sweeney"
   • "Polly Proctor"
   • "Quinton Wu"
   • "Randal Zamora"
   • "Rena Russo"
   • "Rene May"
   • "Roderick Cornell"
   • "Rudy Kaufman"
   • "Russ Calvert"
   • "Sergio Bolden"
   • "Sherman Crowe"
   • "Sherry Proctor"
   • "Susana Short"
   • "Tamika Buck"
   • "Tanner Payne"
   • "Tanner Reece"
   • "Trina Ortega"
   • "Truman Silva"
   • "Twila Short"
   • "Victoria Bridges"
   • "Virgil Dahl"
   • "Will Bowman"
   • "Wilson Dukes"
   • "Winifred Hairston"
   • "Winston Earl"
   • "Abby William"
   • "Abdul Dawkins"
   • "Abe Watson"
   • "Albert Dobson"
   • "Alberto Mcqueen"
   • "Alejandra Haines"
   • "Amelia Bernard"
   • "Amie Dove"
   • "Andrea Guerra"
   • "Angelique Haas"
   • "Ann Crump"
   • "Anna Heath"
   • "Annie Porter"
   • "Belinda Wolff"
   • "Benita Hopkins"
   • "Bennie Mcintyre"
   • "Beverly Snider"
   • "Blanca Prince"
   • "Bradley Cummins"
   • "Bradly Kaiser"
   • "Brady Dukes"
   • "Brenda Atwood"
   • "Brent Johns"
   • "Brice Brunson"
   • "Bridgett Henderson"
   • "Britney Vincent"
   • "Bruno Simons"
   • "Buford Bonds"
   • "Burton Lovett"
   • "Camille Mayberry"
   • "Carmen Bush"
   • "Cathryn Best"
   • "Celina Herbert"
   • "Chance Whitman"
   • "Charity Darling"
   • "Charlie Bonilla"
   • "Clara Meza"
   • "Claudia Fernandez"
   • "Claudio Frazier"
   • "Coleman Souza"
   • "Connie Alexander"
   • "Constance Kirby"
   • "Craig Washburn"
   • "Cristina Vincent"
   • "Damon Massey"
   • "Dante Dougherty"
   • "Darin Lancaster"
   • "Daryl Root"
   • "Deann Harding"
   • "Derick Wilder"
   • "Dion Gill"
   • "Dorothea Fleming"
   • "Dwayne Snow"
   • "Edith Burton"
   • "Eduardo Macdonald"
   • "Edwardo Brunson"
   • "Efren Walden"
   • "Eli Finn"
   • "Elise Quinones"
   • "Elnora Wagner"
   • "Elsie Fischer"
   • "Erin Carlisle"
   • "Ernestine Novak"
   • "Ernie Dickey"
   • "Errol Kent"
   • "Eugenia Snyder"
   • "Evangelina Nguyen"
   • "Evangelina Perkins"
   • "Forest Kinney"
   • "Frieda Guidry"
   • "Fritz Reeves"
   • "Gale Waters"
   • "Gavin Barry"
   • "Gayle Otto"
   • "Gina Lundy"
   • "Glen Valencia"
   • "Glenda Bartley"
   • "Glenn Matthews"
   • "Gregory Sosa"
   • "Gretchen Hodge"
   • "Gustavo Woodson"
   • "Guy Morin"
   • "Harry Dean"
   • "Henrietta Rucker"
   • "Hunter Pickens"
   • "Ilene Souza"
   • "Israel Duarte"
   • "Jamal Ortega"
   • "Jamie Sykes"
   • "Jan Gamble"
   • "Jayson Wiseman"
   • "Jeff Steele"
   • "Jeffery Steiner"
   • "Jenna Rodgers"
   • "Jim Perkins"
   • "Jo Reese"
   • "Joan Roper"
   • "Jody Holcomb"
   • "John Hays"
   • "Johnathan Christensen"
   • "Johnie Bruno"
   • "Joni Vera"
   • "Josephine Woodward"
   • "Jules Ward"
   • "Juliet Maddox"
   • "Justine Gipson"
   • "Karla Robbins"
   • "Kate Carrillo"
   • "Kent Albert"
   • "Kermit Gunter"
   • "Krystal Jensen"
   • "Lacy Boswell"
   • "Larry Davila"
   • "Laurence Babb"
   • "Laverne Middleton"
   • "Leanna Spears"
   • "Leon Alexander"
   • "Les Stanley"
   • "Lora Connor"
   • "Lorie Buckner"
   • "Lorrie Herring"
   • "Luann Tapia"
   • "Lucile Beck"
   • "Lupe Terrell"
   • "Mable Cortez"
   • "Mac Floyd"
   • "Mack Hutchins"
   • "Malcolm Nava"
   • "Mari Rich"
   • "Mariano Herring"
   • "Marie Boucher"
   • "Marty Earl"
   • "Maryanne Cortes"
   • "Melvin Goodwin"
   • "Merrill Gilbert"
   • "Mickey Guthrie"
   • "Misty Flowers"
   • "Moises Clemons"
   • "Mollie Brooks"
   • "Monica Davison"
   • "Myrtle Gentry"
   • "Nadine Odom"
   • "Neal Monroe"
   • "Noel Aragon"
   • "Olive Richards"
   • "Oliver Adams"
   • "Otis Smith"
   • "Patrice Malone"
   • "Rachelle Garland"
   • "Randal Yu"
   • "Richard Cook"
   • "Roberta Bright"
   • "Ronny Johns"
   • "Roosevelt Salgado"
   • "Rosario Daly"
   • "Roseann Browning"
   • "Rosemarie Poole"
   • "Roy Shipley"
   • "Rubin Webb"
   • "Rupert Conrad"
   • "Russell Chacon"
   • "Sanford Nicholson"
   • "Sarah Gipson"
   • "Scotty Bartley"
   • "Sebastian Reeves"
   • "Shane Tipton"
   • "Shauna Prather"
   • "Sheila Coleman"
   • "Shelia Haas"
   • "Shirley Hedrick"
   • "Sofia Lutz"
   • "Stefan Wilkinson"
   • "Stephan Wiseman"
   • "Susie Carroll"
   • "Sylvester Carson"
   • "Tad Melendez"
   • "Tameka Richardson"
   • "Tammy Sheehan"
   • "Tania Kaiser"
   • "Tanisha Lockhart"
   • "Tara Golden"
   • "Tara Wallace"
   • "Terrie Denton"
   • "Therese Sorensen"
   • "Tia Delarosa"
   • "Tomas Conner"
   • "Tommie Nguyen"
   • "Traci Collier"
   • "Trinidad Akins"
   • "Tyson Thomson"
   • "Van French"
   • "Vicky Blackmon"
   • "Vito Frost"
   • "Wade Arellano"
   • "Warren Bloom"
   • "Willie Vickers"
   • "Young Calhoun"

Catre:
– Adrese obţinute de pe Internet.

Subiect:
Unul din urmatoarele:
   • Here is it
   • Hot game
   • Hot pictures
   • Something hot
   • You ask me about this game, Here is it

Corpul email-ului este unul din textele:

   • %simbol 1%, %simbol 2%!
     Funny game. %simbol 3% fucks %simbol 4%... In your attachemnt.



   • %simbol 1%, %simbol 2%!
     Amusing game. %simbol 3% fucks %simbol 4%... In your attachemnt.

Continuand cu una dintre urmatoarele:

   • Bye.

   • Best Regards.

   • Thanks.

   • Regards.

%simbol 1% este inlocuit cu unul din urmatoarele:
   • Hi
   • Good morning
   • Good afternoon
   • Good evening
   • Good Day
   • Hello
   • Helo

%simbol 2% este inlocuit prin unul din urmatoarele:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%simbol 3% este inlocuit prin unul din urmatoarele:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%simbol 4% este inlocuit prin unul din urmatoarele:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

Atasament:
Numele fisierului atasat este urmatorul:
   • isit.zip

Atasamentul este o arhiva ce contine chiar o copie malware.

Pentru o descriere scurta click aici.

Descriere introdusa de Lutz Koch la Wed, 15 Aug 2007 13:47 (GMT+1)
Descriere actualizata de Lutz Koch la Wed, 15 Aug 2007 16:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back