Полное описание

Имя:	Worm/Sohanad.bm
Обнаружен:	19/11/2008
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	От низкого до среднего
Потенциал распространения:	От среднего до высокого
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	501.017 байт.
Контрольная сумма MD5:	eb4215326d739ef7393270fb48f6dbcb
Версия IVDF:	7.01.00.110 - среда, 19 ноября 2008 г.

Общее Методы распространения:
   • Локальная сеть
   • Messenger

Псевдонимы (аliases):
   • Kaspersky: IM-Worm.Win32.Sohanad.bm
   • F-Secure: IM-Worm.Win32.Sohanad.bm
   • Sophos: W32/SillyFDC-G
   • Panda: W32/Hakaglan.A.worm
   • Grisoft: I-Worm/Sohanad.J
   • Eset: Win32/Hakaglan.AH
   • Bitdefender: Trojan.AutoIt.TD

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает файлы
   • Создает файл
   • Снижает уровень настроек безопасности
   • Изменение реестра

Файлы Создаются собственные копии:
   • %SYSDIR%\RVHOST.exe
   • %WINDIR%\RVHOST.exe

Создается файл:

– %WINDIR%\Tasks\At1.job Запланированная задача в виде данного файла запускается в заранее определенное время.

Попытка загрузки следующего файла:

– Следующий URL:
   • http://nhatquanglan2.0catch.com/**********
Сохраняется локально в: %SYSDIR%\setting.ini

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • Yahoo Messengger="%SYSDIR%\RVHOST.exe"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • Shell="Explorer.exe RVHOST.exe"

Добавляются следующие ключи реестра:

– [HKLM\SYSTEM\ControlSet001\Services\Schedule]
   • AtTaskMaxHours=dword:00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   WorkgroupCrawler\Shares]
   • shared="%все папки общего доступа%\New Folder.exe"

Изменяются следующие ключи реестра:

Различные настройки Explorer:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   Прежнее значение:
   • NofolderOptions=%Настройки пользователя%
   Новое значение:
   • NofolderOptions=dword:00000001

Отключение редактора реестра и менеджера задач:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Прежнее значение:
   • DisableTaskMgr=%Настройки пользователя%
   • DisableRegistryTools=%Настройки пользователя%
   Новое значение:
   • DisableTaskMgr=dword:00000001
   • DisableRegistryTools=dword:00000001

Messenger Распространяется с помощью программы Messenger. Основные характеристики:

– Yahoo Messenger

Кому:
Все записи из списка контактов.

Сообщение
Отправленное сообщение может иметь один из следующих видов:

   • E may, vao day coi co con nho nay ngon lam http://nhattruongquang.**********.com

   • Vao day nghe bai nay di ban http://nhattruongquang.**********.com

   • Biet tin gi chua, vao day coi di http://nhattruongquang.**********.com

   • Trang Web nay coi cung hay, vao coi thu di http://nhattruongquang.**********.com

   • Toi di lang thang lan trong bong toi buot gia, ve dau khi da mat em roi? Ve dau khi bao nhieu mo mong gio da vo tan... Ve dau toi biet di ve dau? http://nhattruongquang.**********.com

   • Khoc cho nho thuong voi trong long, khoc cho noi sau nhe nhu khong. Bao nhieu yeu thuong nhung ngay qua da tan theo khoi may bay that xa... http://nhattruongquang.**********.com

   • Tha nguoi dung noi se yeu minh toi mai thoi thi gio day toi se vui hon. Gio nguoi lac loi buoc chan ve noi xa xoi, cay dang chi rieng minh toi... http://nhattruongquang.**********.com

   • Loi em noi cho tinh chung ta, nhu doan cuoi trong cuon phim buon. Nguoi da den nhu la giac mo roi ra di cho anh bat ngo... http://nhattruongquang.**********.com

   • Tra lai em niem vui khi duoc gan ben em, tra lai em loi yeu thuong em dem, tra lai em niem tin thang nam qua ta dap xay. Gio day chi la nhung ky niem buon...http://nhattruongquang.**********.com

Полученное сообщение может выглядеть следующим образом:

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующую сетевой ресурс общего доступа:
• %все папки общего доступа%\New Folder.exe

Описание добавил Adriana Popa в(о) вторник, 10 февраля 2009 г.
Описание обновил Adriana Popa в(о) среда, 11 февраля 2009 г.

Назад . . . .