Полное описание

Имя:	Worm/VB.DU.10
Обнаружен:	08/08/2007
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Низкий
Файл статистики:	Нет
Размер файла:	~55.000 байт.
Контрольная сумма MD5:	166c0A98d40Cf7ceac4fdbd523ec751b
Версия VDF:	6.37.00.115
Версия IVDF:	6.37.00.119 - понедельник, 8 января 2007 г.

Общее Псевдонимы (аliases):
   • Kaspersky: Worm.Win32.VB.du
   • F-Secure: Worm.Win32.VB.du
   • Sophos: W32/Rungbu-C
   • Panda: W32/Rungbu.B.worm
   • Grisoft: Worm/VB.BCN
   • Eset: Win32/VB.NHV worm
   • Bitdefender: Win32.Worm.Vb.DU

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Снижает уровень настроек безопасности
   • Изменение реестра

Файлы Создаются копии вредоносной программы. К файлам добавляются случайные байты. Это делает их отличными от оригинала:
   • %Диск%\Recycled\SVCHOST.EXE
   • %Диск%\Recycled\SPOOLSV.EXE
   • %Диск%\Recycled\CTFMON.EXE
   • %Диск%\Recycled\SMSS.EXE

Создаются следующие файлы:

– Файл предназначен для временного использования и может быть удален.
   • %Рабочая папка вредоносной программы%\%выполненный файл%.!!!

– %TEMPDIR%\Flu Burung.txt Файл является безвредным текстовым файлом со следующим содержимым:
   • ==========================
     ======= FLU BURUNG =======
      |
     = Oleh-oleh dari AMBON =
     | Katong pung jua bisa
      |
     ==========================
     ==========================
     Stamp: 02 July 2006, dan.....
     "SELAMAT ULTAH KE-20 Agnes Monica!"
     Bugs Bunny say "What's up doc?"
     Duffy Duck say "I'm infected doc"
     So at the end of story they save the screen.
     PAJAK? Semua hal kena pajak!
     Barang mewah kena pajak, nabung di bank tiap bulan potong pajak,
     penghasilan kena pajak, sampai makanan pun kena pajak.
     Indonesia penuh dengan pajak! Tidak heran penuh pembajak.
     Orang bijak bayar pajak, takut pajak jadi pembajak.
     Cuma udara yang dihirup yang tidak kena pajak, namun sudah tercemar
     dengan asap dan polutan. "Tanya kenapa?"
     (Raven codename DIP "05062705056127019455")
     MSG (Monosodium Glutamat) merupakan penyebab kebodohan yang berakibat kemalasan.
     Pantas bangsa Indonesia tidak bisa maju karena bangsanya bodoh.
     Hampir semua produk makanan Indonesia menggunakan MSG.
     Pemerintah harus segera menghapuskan penggunaan MSG dipasaran!
     Mungkin karena para pejabat dan wakil rakyat otaknya juga sudah penuh dengan MSG,
     jadi tidak dapat berpikir dengan benar!
     Atau mereka terpilih karena terpintar diantara yang terbodoh,
     ataukah memang sengaja membodohkan bangsa agar dapat korupsi dangan leluasa?
     (Raven codename DIP "05062705056127019455")
     Flu burung, masa sich burungnya bisa flu? Tanya kenapa?
     Awas bahaya flu burung, bahaya lo? Bisa RIP tau?
     (RIP "Rest in Peace"/Constantine)
     Rupiah kebanyakan angka! (Okinawa)
     Dimana sebenarnya pemerintah ??????
     Pemerintah sekarang ini lebih memilih uang uang dan uang.
     Malahan sekarang lebih lebih untuk masalah pilkada pilkada dan pilkada.
     Kita sebagai mahasiswa dan masyarakat merasa terasingkan dari perhatian pemerintah.
     Tanya kenapa ????
     Lihat saja pengangguran banyak sekali!!!
     Sebenarnya siapa yang bisa ngomongin dengan pemerintah ?????
     Aku????? Ga mungin lagi.
     Tapi mudah-mudahan pemerintah sadar sendiri aja yaaa!!!
     Slamat Muaaach!!! (Dino Gitchu)
     Idiiih....! (Trader)

Реестр Удаляются значения следующего ключа реестра:

– [HKCR\scrfile\shell\config\command]
– [HKCR\scrfile\shell\config]
– [HKCR\scrfile\shell\install\command]
– [HKCR\scrfile\shell\install]

Изменяются следующие ключи реестра:

– [HKCR\Word.Document.8\DefaultIcon]
   Новое значение:
   • (Default)="%WINDIR%\Installer\{90280409-6000-11D3-8CFE-0050048383C9}\docicon.exe"

– [HKCR\scrfile]
   Новое значение:
   • (Default)="Microsoft Word Document"

– [HKCR\scrfile\shell\open]
   Новое значение:
   • (Default)="

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Новое значение:
   • Userinit="%корзина%\SVCHOST.exe,"

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Новое значение:
   • Shell="Explorer.exe "%корзина%\SVCHOST.exe""

– [HKCR\*]
   Новое значение:
   • QuickTip="prop:Type;Size"
     TileInfo="prop:Type;Size"
     InfoTip="prop:Type;Write;Size"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\HideFileExt]
   Новое значение:
   • UncheckedValue=dword:00000001
     CheckedValue=dword:00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Новое значение:
   • HideFileExt=dword:00000001
     ShowSuperHidden=dword:00000000

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   Новое значение:
   • CheckedValue=dword:00000000
     UncheckedValue=dword:00000000

Данные файла Язык программирования:
Программа была написана на Visual Basic.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• ASPack

Описание добавил Monica Ghitun в(о) четверг, 8 ноября 2007 г.
Описание обновил Monica Ghitun в(о) пятница, 9 ноября 2007 г.

Назад . . . .