Полное описание

Имя:	Worm/Opnis.T.1
Обнаружен:	24/08/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	85.738 байт.
Контрольная сумма MD5:	7a44b326e90D03251af24e33826027ba
Версия VDF:	6.35.01.132
Версия IVDF:	6.35.01.135 - четверг, 24 августа 2006 г.

Общее Метод распространения:
   • Email

Псевдонимы (аliases):
   • Symantec: W32.Stration.B@mm
   • Mcafee: W32/Stration@MM
   • Sophos: W32/Dilworm-A
   • VirusBuster: Trojan.Opnis.Z
   • Bitdefender: Trojan.Downloader.Strationee.B

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает вредоносного файл
   • Использует собственный почтовый движок

После активации запускается Windows приложение. При этом отображается следующее окно:

Файлы Создается собственная копия:
   • %WINDIR%\svchost32.exe

Создаются следующие файлы:

– Незараженный файл:
   • %WINDIR%\svchost32.xml

– %Рабочая папка вредоносной программы%\%Шестнадцатиричное число%.tmp

Попытка загрузки следующего файла:

– Следующий URL:
   • http://gadesunheranwui.com/chr/jjjk/**********
Сохраняется локально в: %TEMPDIR%\~%Шестнадцатиричное число%.tmp Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Strationee.A

Реестр Изменяется следующий ключ реестра:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\
   S-1-5-18\Products\9040820900063D11C8EF00054038389C\Usage
   Новое значение:
   • "OUTLOOKFiles"=dword:%Шестнадцатиричное число%

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:

От:
Генерированные адреса. Отправитель мог не иметь намерения отправлять это письмо. Он может ничего не знать об инфицировании свой системы. Вы можете получать письма с утверждением об инфицировании Вашей системы.

Кому:
– В определенных файлах системы были обнаружены электронные адреса.

Тема:
Одно из следующих:
   • Error
   • Good day
   • hello
   • Mail Delivery System
   • Mail Transaction Failed
   • picture
   • Server Report
   • Status
   • test

Тело:
Тело письма имеет один из следующих видов:
   • The message contains Unicode characters and has been sentas a binary attachment.
   • The message cannot be represented in 7-bit ASCII encodingand has been sent as a binary attachment
   • Mail transaction failed. Partial message is available.

Прикрепленный файл:
Имена прикрепелнных файлов образуются следующим образом:

– Начинается одним из следующих:
   • body
   • data
   • doc
   • docs
   • document
   • file
   • message
   • readme
   • test
   • text

Завершается одним из следующих:
   • dat
   • elm
   • log
   • msg
   • txt

    Заканчивается следующей строкой:
   • bat
   • cmd
   • exe
   • pif
   • scr

Пример имён вложенных файлов:
   • body.dat.cmd
   • data.txt.pif

Прикрепленный файл является копией вредоносной программы:

Письмо выглядит следующим образом:

Отправка Поиск адресов:
Проверка следующих файлов на наличие в них электронных адресов:
   • xml; xls; wsh; wab; uin; txt; tbb; stm; shtm; sht; php; oft; ods; nch;
      msg; mmf; mht; mdx; mbx; jsp; html; htm; eml; dhtm; dbx; cgi; cfg;
      asp; adb

Создание адресов отправителя:
Для генерации адресов применяются следующие строки:
   • Barbara; Betty; Bill; Carol; Charles; Chris; Daniel; David; Don;
      Donna; Dorothy; Edward; Elizabeth; George; Helen; James; Jennifer;
      John; Joseph; Karen; Ken; Linda; Lisa; Margaret; Maria; Mark; Mary;
      Michael; Nancy; Patricia; Paul; Richard; Rob; Ron; Ruth; Sandra;
      Sharon; Steven; Susan; Tom

Первая строка может комбинироваться со одной из следующих:
   • Adams; Allen; Anderson; Baker; Brown; Carter; Clark; Davis; Garcia;
      Gonzalez; Green; Hall; Harris; Hernandez; Hill; Jackson; Jones;
      Johnson; King; Lee; Lewis; Lopez; Martin; Martinez; Miller; Moore;
      Nelson; Robinson; Rodriguez; Scott; Smith; Taylor; Thomas; Thompson;
      Walker; White; Williams; Wilson; Wright; Young

Одно из следующих доменных имен:
   • care2.com; email.myway.com; fastmail.fm; gmail.com; goowy.com;
      hotmail.com; inbox.com; mail.aim.com; mail.com; mail.lycos.com;
      yahoo.com

Пример сгенерированных адресов:
   • David Lee &ltDavid_1972@email.myway.com>
   • George Lopez &ltGeorge.Lopez@mail.lycos.com>
   • Mark Robinson &ltRobinson_vplxh@goowy.com>

Backdoor Устанавливает соединение с сервером
Следующий:
• http://gadesunheranwui.com/cgi-bin/**********

В результате может пересылаться информация. Для этого служит метод HTTP POST с применением CGI скриптов.

Передает информацию о:
• Текущий malware статус.

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Описание добавил Ionut Slaveanu в(о) понедельник, 28 августа 2006 г.
Описание обновил Ionut Slaveanu в(о) понедельник, 11 сентября 2006 г.

Назад . . . .