Полное описание

Имя:	Worm/VB.BV.4
Обнаружен:	12/03/2008
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	От низкого до среднего
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	93.612 байт.
Контрольная сумма MD5:	0Bdddbd11165827f0C0A86b578ce5bef
Версия VDF:	6.38.00.39
Версия IVDF:	6.38.00.40 - понедельник, 12 марта 2007 г.

Общее Метод распространения:
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Mcafee: W32/USBCasv
   • Kaspersky: Worm.Win32.VB.fp
   • F-Secure: Worm.Win32.VB.fp
   • Eset: Win32/VB.FP
   • Bitdefender: Worm.Win32.VB.BV

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает файлы
   • Использует собственный почтовый движок
   • Изменение реестра
   • Похищает информацию

Файлы Создаются собственные копии:
   • %TEMPDIR%\s.exe
   • %SYSDIR%\odbcasvc.exe
   • %SYSDIR%\Recycled\INFO.EXE
   • %Диск%:\Recycled\INFO.EXE

Архивация:
Файлы создаются и сохраняются в архивах.

Производится поиск в следующей директории:
   • %WINDIR%\Microsoft.NET\Debug\Temp\

Принимается во внимание следующий тип файла:
   • .log

Имя файла архива::
   • %актуальная дата%_%актуальное время%.uda

Копируются следующие файлы:
    • %все папки%\*.doc в %WINDIR%\Microsoft.NET\Debug\Temp\%случайная буквенная комбинация%.log
    • %все папки%\*.xls в %WINDIR%\Microsoft.NET\Debug\Temp\%случайная буквенная комбинация%.log
    • %все папки%\*ppt в %WINDIR%\Microsoft.NET\Debug\Temp\%случайная буквенная комбинация%.log

Создаются следующие файлы:

– Незараженные файлы:
   • %SYSDIR%\Recycled\desktop.ini
   • %Диск%:\Recycled\desktop.ini

– %SYSDIR%\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   • %код, исполняющий вредоносную программу%

– %Диск%:\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   • %код, исполняющий вредоносную программу%

– %WINDIR%\uda.exe

Реестр Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\odbcasvc]
   • Type = 10
   • Start = 2
   • ErrorControl = 1
   • ImagePath = %SYSDIR%\odbcasvc.EXE
   • DisplayName = ODBC Administration Service
   • ObjectName = LocalSystem
   • Description = Microsoft Data Access - ODBC Administration Service

Email Не имеет собственной процедуры размножения. Занимается рассылкой электронных писем. Адресат может оказаться отправителем. Подробности приведены ниже:

Дизайн письма:
От: esmtp01@tom.com
Кому: esmtp01@tom.com
Тема: Spider%Число%[%Имя компьютера%\%актуальное имя пользователя%]
Прикрепленный файл:
• current date%_%актуальное время%.uda

Прикрепленный файл является копией созданного файла: %WINDIR%\Microsoft.NET\Debug\Temp\%актуальная дата%_%актуальное время%.uda

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Описание добавил Irina Diaconescu в(о) среда, 30 июля 2008 г.
Описание обновил Andrei Gherman в(о) четверг, 31 июля 2008 г.

Назад . . . .