Имя:Worm/Autorun.bns
Обнаружен:31/07/2009
Вид:Червь
В реальных условиях:Да
Отмеченные факты заражения:От низкого до среднего
Потенциал распространения:От низкого до среднего
Потенциал повреждений:От низкого до среднего
Файл статистики:Да
Размер файла:76.288 байт.
Контрольная сумма MD5:c00e51fba9f3b275436ce22c57772ca5
Версия IVDF:7.01.05.55 - пятница, 31 июля 2009 г.

 Общее Метод распространения:
• Autorun feature (ru)
   • Messenger


Псевдонимы (аliases):
   •  Sophos: W32/Autorun-AVF
   •  Panda: W32/IRCBot.CPZ.worm
   •  Eset: Win32/Agent.NGR
   •  Bitdefender: Win32.Worm.IMStealer.I


Операционные системы:
   • Windows 2000
   • Windows XP
   • Windows 2003


Последствия:
   • Загружает вредоносного файл
   • Создает вредоносные файлы
   • Изменение реестра

 Файлы Создаются собственные копии:
   • %TEMPDIR%\vshost32.exe
   • %Диск%\vshost.exe



Создается файл:

– %Диск%\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   •




Попытка загрузки следующего файла:

– Следующие URL:
   • http://win.studyingcenter-org.com/**********?p1=%Число%&p2=USA&n=1
   • http://ns.dunno-net.com/**********?p1=%Число%&p2=USA&n=1
   • http://fubar.cheapsocks.cn/**********?p1=%Число%&p2=USA&n=1
На момент проверки данный файл не был доступен.

 Реестр Изменяются следующие ключи реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Новое значение:
   • "Userinit"="%SYSDIR%\userinit.exe,%TEMPDIR%\vshost32.exe"

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Новое значение:
   • "BuildID"=dword:0xd3adc0de

 Messenger Распространяется с помощью программы Messenger. Основные характеристики:

– AIM Messenger
– Yahoo Messenger


Кому:
Все записи из списка контактов.


Распространение через файлы
Отправляется файл со следующим именем:
   • vshost.exe

 Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Описание добавил Petre Galan в(о) понедельник, 14 декабря 2009 г.
Описание обновил Petre Galan в(о) понедельник, 14 декабря 2009 г.

Назад . . . .
 
 
 
 

© 2012 Avira Operations GmbH & Co. KG. Все права защищены.