Worm/Agent.ax - Worm

In alte limbi

Scurta descriere

Descriere completa

Statistici

Nume:	Worm/Agent.ax
Descoperit pe data de:	04/05/2007
Tip:	Vierme
ITW:	Da
Numar infectii raportate:	Scazut
Potential de raspandire:	Mediu
Potential de distrugere:	Mediu
Fisier static:	Da
Marime:	196.608 Bytes
MD5:	3ea03f98dcbdc2497e5f7d9ed9065f1f
Versiune IVDF:	6.38.01.92 - Sat, 05 May 2007 11:55 (GMT+1)

General Metoda de raspandire:
   • Email

Alias:
   • Kaspersky: Email-Worm.Win32.Agent.ax
   • F-Secure: Email-Worm.Win32.Agent.ax
   • Grisoft: Agent.PGE
   • Eset: Win32/Agent.NHE

Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efecte secundare:
   • Utilizeaza propriul motor de email
   • Modificari in registri
   • Posibilitatea accesului neautorizat la computer

Fisiere Se copiaza in urmatoarea locatie:
• %SYSDIR%\%combinatie de caractere aleatoare%.exe

Sterge copia initiala a virusului.

Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • %combinatie de caractere aleatoare% = %combinatie de caractere aleatoare%.exe

Urmatoarele chei sunt adaugate in registri pentru a incarca serviciul la repornirea sistemului:

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %combinatie de caractere aleatoare%]
   • Type = 10
   • Start = 2
   • ErrorControl = 0
   • ImagePath = %SYSDIR%\%combinatie de caractere aleatoare%.exe /service
   • DisplayName = Print Spooler Service
   • ObjectName = LocalSystem

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %combinatie de caractere aleatoare%\Security]
   • Security = %valori hex%

Email Contine un motor SMTP integrat, pentru a trimite spam prin email. Astfel se va conecta direct la serverul destinatar. Caracteristicile sunt:

De la:
Adrese obţinute de pe Internet. Vă rugăm nu presupuneţi că a fost intenţia expeditorului să vă trimită acest email. Este posibil ca el să nu ştie că este infectat sau chiar să nu aibă sistemul infectat. În plus, este posibil să primiţi email-uri returnate care să vă indice că sunteţi infectat, lucru care poate fi de asemenea fals.

Catre:
– Adrese obţinute de pe Internet.

Backdoor Servere contactate:
Urmatoarele:
   • **********:447 (TCP)
   • **********:447 (UDP)

Odata conectat, descarca o alta lista de servere.
Astfel se obtine control la distanta.

Posibilitati de control la distanta:
    • trimitere email-uri
    • legat de Spam

Alte informatii Mutex:
Creeaza urmatorul mutex:
• 558125581

Detaliile fisierului Compresia fisierului:
Pentru a ingreuna detectia si a reduce marimea fisierului, este folosit un program de compresie runtime.

Pentru o descriere scurta click aici.

Descriere introdusa de Andrei Gherman la Wed, 19 Mar 2008 10:53 (GMT+1)
Descriere actualizata de Andrei Gherman la Wed, 19 Mar 2008 11:20 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back