Полное описание

Имя:	Worm/Traxgy.B
Обнаружен:	30/08/2005
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От среднего до высокого
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Нет
Размер файла:	57.344 байт.
Версия IVDF:	6.31.01.196 - вторник, 30 августа 2005 г.

Общее Методы распространения:
   • Email
   • Локальная сеть
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Kaspersky: Email-Worm.Win32.Rays
   • F-Secure: Email-Worm.Win32.Rays
   • Sophos: W32/Traxg-B
   • Panda: W32/Vinet.A.worm
   • Grisoft: I-Worm/Rays.E
   • Bitdefender: Win32.Rays.H@mm

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает потенциально опасный файл
   • Снижает уровень настроек безопасности
   • Изменение реестра

Файлы Создаются собственные копии:
   • A:\Explorer.EXE
   • A:\WINDOWS.EXE
   • %Диск%:\WINDOWS.EXE
   • %Диск%:\ghost.bat
   • %все папки%\%текущее имя папки%.exe

Создает собственную копию с именем файла из списка
– Кому: %WINDIR%\\system\ С одним из следующих имен:
   • %Шестнадцатиричное число%.com

– Кому: %WINDIR%\fonts\ С одним из следующих имен:
   • %Шестнадцатиричное число%.com

– Кому: %WINDIR%\\temp\ С одним из следующих имен:
   • %Шестнадцатиричное число%.com

– Кому: %WINDIR%\help\ С одним из следующих имен:
   • \%Шестнадцатиричное число%.com

Создаются следующие файлы:

– Незараженный файл:
   • %все папки%\desktop.ini

– A:\NetHood.htm Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: VBS/Zapchast.B

– %Диск%:\NetHood.htm Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: VBS/Zapchast.B

– %все папки%\folder.htt Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: VBS/Zapchast.B

Реестр Для повторного запуска процесса после перезагрузки системы одно из следующих значений добавляется к ключу реестра.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • TempCom = %WINDIR%\\system\%Шестнадцатиричное число%.com
   • TempCom = %WINDIR%\fonts\%Шестнадцатиричное число%.com
   • TempCom = %WINDIR%\\temp\%Шестнадцатиричное число%.com
   • TempCom = %WINDIR%\help\%Шестнадцатиричное число%.com

Удаляется значение следующего ключа реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • KaV300XP

Изменяются следующие ключи реестра:

Различные настройки Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   CabinetState]
   Прежнее значение:
   • fullpath = %Настройки пользователя%
   Новое значение:
   • fullpath = dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Прежнее значение:
   • HideFileExt = %Настройки пользователя%
   • Hidden = %Настройки пользователя%
   Новое значение:
   • HideFileExt = dword:00000001
   • Hidden = dword:00000000

Email Вредоносная программа отправляет почту с помощью MAPI интерфейса. Устанавливается прямое соединение с сервером. Подробности приведены ниже:

От:
Адрес отправителя - учетная запись пользователя Outlook

Кому:
– Полученные из WAB (адресная книга Windows) адреса электронной почты

Тема:
Следующее:
   • %текст на китайском языке%

Тело:
Тело письма имеет следующий вид:
   • %текст на китайском языке% Document.exe %текст на китайском языке%

Прикрепленный файл:
Следующее имя прикрепленного файла:
   • Document.exe

Прикрепленный файл является копией вредоносной программы:

Письмо выглядит следующим образом:

Данные файла Язык программирования:
Программа была написана на Visual Basic.

Описание добавил Andrei Gherman в(о) пятница, 21 сентября 2007 г.
Описание обновил Andrei Gherman в(о) пятница, 21 сентября 2007 г.

Назад . . . .