Полное описание

Имя:	Worm/VB.AT.1
Обнаружен:	03/08/2005
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Низкий
Файл статистики:	Да
Размер файла:	12.288 байт.
Контрольная сумма MD5:	85add335b75d9a6c44019f5ffdbf2b9a
Версия VDF:	6.31.01.54

Общее Метод распространения:
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Symantec: W32.Cabreck
   • Mcafee: W32/CableNet.worm
   • Kaspersky: Worm.Win32.VB.at
   • TrendMicro: WORM_CABRECK.A
   • Sophos: W32/Cablenet-A
   • Grisoft: Worm/VB.DR
   • VirusBuster: Worm.Cablenet.A
   • Eset: Win32/VB.NCN
   • Bitdefender: Win32.Cablenet.A

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра

Файлы Разделы добавляются в файл.
– Кому: %WINDIR%\win.ini Со следующим содержимым:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

Создается файл:

– %WINDIR%\Cable.ini Файл является безвредным текстовым файлом со следующим содержимым:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
• "run"="Cable.exe"

P2P Предпринимаемые для инфицирования других систем в одноранговой сети действия: Производится поиск следующих папок:
   • %Корневая папка системного диска%
   • c:\windows

Поиск всех папок общего доступа.

   При успешном завершении поиска создаются следующие файлы:
   • Cable.exe; FileCryptor.exe; Microsoft SP4.exe; Acrobat Reader.exe;
      Setup.exe; NAI Mcafee.exe; Norton AV.exe; PGP Free.exe; Password
      recovery.exe; KazzaP2P.exe; Download accelerator.exe; Linux
      Source.exe; Winzip.exe; Lotus app.exe; Netscape.exe; Money Manger.exe;
      Paypal.exe; FixMydoom.exe; BillSux.exe; MorpheusP2P.exe; E_donkey.exe;
      Calvin and Hobbes.exe

   Файлы являются копиями потенциально опасной программы

Папка общего доступа может выглядеть следующим образом:

Данные файла Язык программирования:
Программа была написана на Visual Basic.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Описание добавил Irina Boldea в(о) вторник, 16 мая 2006 г.
Описание обновил Irina Boldea в(о) вторник, 16 мая 2006 г.

Назад . . . .