Имя:Worm/Brontok.AH
Обнаружен:08/02/2007
Вид:Червь
В реальных условиях:Да
Отмеченные факты заражения:От низкого до среднего
Потенциал распространения:Низкий
Потенциал повреждений:От низкого до среднего
Файл статистики:Да
Размер файла:335.872 байт.
Контрольная сумма MD5:e5289f7c1ab17cfe7244eac16d7209ab
Версия IVDF:6.37.01.60 - четверг, 8 февраля 2007 г.

 Общее Псевдонимы (аliases):
   •  Mcafee: W32/Rontokbro.gen
   •  Sophos: W32/Brontok-B
   •  Bitdefender: Trojan.VB.AutoRun.T
   •  Panda: W32/Brontok.JK.worm
   •  Eset: Win32/Brontok.BW


Операционные системы:
   • Windows 2000
   • Windows XP
   • Windows 2003


Последствия:
   • Загружает вредоносного файл
   • Создает вредоносные файлы
   • Изменение реестра

 Файлы Создаются собственные копии:
   • %HOME%\Local Settings\Application Data\smss.exe
   • %HOME%\Local Settings\Application Data\lsass.exe
   • %SYSDIR%\2D Animation.scr
   • %HOME%\Templates\A.yaresoJ.com
   • %HOME%\Local Settings\Application Data\csrss.exe
   • %HOME%\Local Settings\Application Data\winlogon.exe
   • %WINDIR%\INF\esoJray.exe
   • %HOME%\Local Settings\Application Data\services.exe
   • %HOME%\Start Menu\Programs\Startup\index.pif
   • %HOME%\Local Settings\Application Data\inetinfo.exe



Файл будет переписан.
– C:\autoexec.bat



Создается файл:

– %HOME%\Local Settings\Application Data\Update.3.Jose.ray.bin



Попытка загрузки следующего файла:

– Следующий URL:
   • http://www.geocities.com/jowobot123/**********




Пытается запустить на выполнение следующие файлы:

– Имя файла:
   • explorer.exe


– Имя файла:
   • "%HOME%\Local Settings\Application Data\smss.exe"


– Имя файла:
   • "%HOME%\Local Settings\Application Data\winlogon.exe"


– Имя файла:
   • at /delete /y


– Имя файла:
   • at 17:08 /every:M,T,W,Th,F,S,Su "%HOME%\Templates\A.yaresoJ.com"


– Имя файла:
   • "%HOME%\Local Settings\Application Data\services.exe"


– Имя файла:
   • "%HOME%\Local Settings\Application Data\lsass.exe"


– Имя файла:
   • "%HOME%\Local Settings\Application Data\inetinfo.exe"

 Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.



Добавляются следующие ключи реестра:

– [HKCU\software\microsoft\windows\currentversion\Policies\System]
   • "DisableCMD"=dword:0x00000000
   • "DisableRegistryTools"=dword:0x00000001

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NoFolderOptions"=dword:0x00000001



Изменяются следующие ключи реестра:

– [HKCU\Software\Microsoft\Internet Explorer\Toolbar]
   Новое значение:
   • "Locked"=dword:0x00000001

– [HKCU\Software\Microsoft\Internet Explorer\Toolbar\Explorer]
   Новое значение:
   • "ITBarLayout"=hex:b'\x11\x00\x00\x00L\x00\x00\x00\x00\x00\x00\x004\x00\x00\x00\x1b\x00\x00\x00N\x00\x00\x00\x01\x00\x00\x00\x07\x00\x00\xa0\x0f\x00\x00\x05\x00\x00\x00b\x05\x00\x00&\x00\x00\x00\x02\x00\x00\x00!\x07\x00\x00\xa0\x0f\x00\x00\x04\x00\x00\x00!\x01\x00\x00\xa0\x0f\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'

– [HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser]
   Новое значение:
   • "{01E04581-4EEE-11D0-BFE9-00AA005B4383}"=hex:b'\x81E\xe0\x01\xeeN\xd0\x11\xbf\xe9\x00\xaa\x00[C\x83\x10\x00\x00\x00\x00\x00\x00\x00\x01\xe02\xf4\x01\x00\x00\x00'

 Данные файла Язык программирования:
 Программа была написана на Visual Basic.

Описание добавил Petre Galan в(о) пятница, 23 июля 2010 г.
Описание обновил Petre Galan в(о) пятница, 23 июля 2010 г.

Назад . . . .
 
 
 
 

© 2012 Avira Operations GmbH & Co. KG. Все права защищены.