Полное описание

Имя:	Worm/Ntech.D
Обнаружен:	13/08/2007
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	20.992 байт.
Контрольная сумма MD5:	DFADE0D9B21BE4FD57DD6975D9FE7CCD
Версия IVDF:	6.39.00.233 - понедельник, 13 августа 2007 г.

Общее Метод распространения:
   • Email

Операционные системы:
   • Windows NT
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает вредоносного файл
   • Создает вредоносные файлы
   • Использует собственный почтовый движок

Файлы Создается следующая директория:
   • %WINDIR%\temp\

Файл будет переписан.
– %SYSDIR%\driver\secdrv.sys

Создаются следующие файлы:

– %SYSDIR%\driver\runtime.sys После полного завершения процесса создания он запускается на выполнение. Определен как: RKit/Posh.A

– %WINDIR%\temp\startdrv.exe Определен как: Worm/Ntech.E

– %SYSDIR%\driver\runtime2.sys Определен как: RKit/Posh.A

Попытка загрузки следующего файла:

– Следующий URL:
   • http://67.18.114.98/**********
Сохраняется локально в: %TEMPDIR%\%несколько произвольных чисел%8.exe Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой.

Попытка запустить на выполнение следующий файл:

– Имя файла:
   • %SYSDIR%\driver\runtime2.sys
Применяется для сокрытия процесса менеждера задач. Определен как: RKit/Posh.A

Реестр Для повторного запуска процесса после перезагрузки системы одно из следующих значений добавляется к ключу реестра.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"="%WINDIR%\Temp\startdrv.exe"

Для загрузки служб после перезагрузки системы добавляются следующие ключи реестра.

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SECDRV\0000\Control\
   ActiveService
   • Secdrv

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME\0000\Control\
   ActiveService
   • runtime

– HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_RUNTIME2\0000\Control\
   ActiveService
   • runtime2

Email Программа обладает собственным SMTP ядром для рассылки спама. Для этого устанавливается прямое соединение с сервером. Подробности приведены здесь:

От:
Собранные в Интернет адреса. Отправитель мог не иметь намерения отправлять это письмо. Он может ничего не знать об инфицировании свой системы. Вы можете получать письма с утверждением об инфицировании Вашей системы.

Кому:
– Собранные в Интернете адреса.

Тема:
Одно из следующих:
   • A pretty-pretty fly
   • Always ready
   • Anything else?
   • Enjoy with you hard stick
   • Here is it
   • Hot game
   • Hot pictures
   • Joy stick
   • Magic is real
   • Magic stick
   • Something hot
   • Super stick
   • To be or not to be. To be...
   • Very-very magic stick
   • You ask me about this game, Here is it
   • You can...

Не указана тема письма.
Тема письма содержит случайные знаки.

Тело:
Тело письма имеет один из следующих видов:

   • %Заменитель символов 1%, %Заменитель символов 2%!

     Funny game. %Заменитель символов 3% fucks %Заменитель символов 4%... In your attachemnt.

   • %Заменитель символов 1%, %Заменитель символов 2%!

     Amusing game. %Заменитель символов 3% fucks %Заменитель символов 4%... In your attachemnt.

Иногда продолжается одним из следующих:

   • Best Regards.

   • Bye.

   • Good Bye.

   • Regards.

   • Thanks.

%Заменитель символов 1% распространяется на одну из следующих позиций:
   • Good afternoon
   • Good Day
   • Good evening
   • Good morning
   • Hello
   • Helo
   • Hi

%Заменитель символов 2% распространяется на одну из следующих позиций:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%Заменитель символов 3% распространяется на одну из следующих позиций:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%Заменитель символов 4% распространяется на одну из следующих позиций:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

Прикрепленный файл:

Прикрепленный архивный файл содержит копию потенциально опасной программы.

Письмо выглядит следующим образом:

Backdoor Устанавливает соединение с сервером
Следующий:
• 216.195.61.87:2581

Возможности удаленного контроля:
• Отправить электронную почту

Технология Rootkit – Собственные файлы
– Собственные процессы

Используемый метод:
    • Невидимо из Interrupt Descriptor Table (IDT)

Внедряется в следующие API-функции:
   • ZwDeleteValueKey
   • ZwEnumerateKey
   • ZwOpenKey
   • ZwSetValueKey

Описание добавил Viktor Graeber в(о) понедельник, 13 августа 2007 г.
Описание обновил Philipp Wolf в(о) понедельник, 13 августа 2007 г.

Назад . . . .