Worm/VBbot.L - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/VBbot.L
Обнаружен:	05/09/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	61.440 байт.
Контрольная сумма MD5:	0121a7a330f446e43a84df481e3503c9

Общее Метод распространения:
   • Messenger

Псевдонимы (аliases):
   • Kaspersky: Backdoor.Win32.VBbot.l
   • TrendMicro: BKDR_VBBOT.F

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Блокирует доступ к веб-страницам IT-security компаний
   • Отключение приложений безопасности
   • Загружает вредоносные файлы
   • Снижает уровень настроек безопасности
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

После запуска выдается следующая информация:

Файлы Создается собственная копия:
• %SYSDIR%\%случайная буквенная комбинация%\svshost.exe

Выполненная копия программы удаляется.

Создается файл:

– %TEMPDIR%\temp.bat После полного завершения процесса создания он запускается на выполнение. Данный batch-файл используется для удаления файла.

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– HKLM\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%случайная буквенная комбинация%\svshost.exe"

– HKCU\software\microsoft\windows\currentversion\run
   • "svshost"="%SYSDIR%\%случайная буквенная комбинация%\svshost.exe"

Изменяется следующий ключ реестра:

– HKLM\system\currentcontrolset\services\sharedaccess
   Прежнее значение:
   • "Start"=dword:%Настройки пользователя%
   Новое значение:
   • "Start"=dword:00000004

Messenger Распространяется с помощью программы Messenger. Основные характеристики:

– AIM Messenger
– MSN Messenger

Кому:
Все записи из списка контактов.

Сообщение
Отправленное сообщение может иметь один из следующих видов:

   • Hej, download this if you want free Emotions and more Extras for your messenger : %ссылка%

   • rofl you gotta see this %ссылка%

   • Hey I found new Winks and Emoticons for your messenger and alot more Check them out here : %ссылка%

   • Messeger PLUS just have been released Check it out it got alot of extra features that makes your Messenger alot better. Download it here : %ссылка%

   • are bored of your emoticons and winks ? download this tool : %ссылка%

   • Hej, you already got the new Messenger ? :D %ссылка%

   • Messenger Plus 6.0 Beta released....get it here :) %ссылка%

   • Hej, wanna update your Messenger :D ? %ссылка%

   • lmao, this is awesome! %ссылка%

   • lol I just updated my Messenger and I call tell you it ROCKS!! %ссылка%

   • Check this out bro, its awsome :D !! %ссылка%

   • lol, you should check out the new Messenger Plus...it rocks! :o %ссылка%

   • LOL this is one of the funniest things i've ever seen! %ссылка%

   • lmao this is so funny %ссылка%

   • you 've got to see this! %ссылка%

%ссылка%
Пока груповой символ соответствует следующему:
   • www.asianvideo.be/download.php?**********&do=download

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: 67.18.50.**********
Порт: 37737
Канал: #.antixnew
Имя: [XP|5|%случайная буквенная комбинация%]
Пароль: w000000t

– Вредоносный объект имеет способность собирать и передавать следующую информацию:
    • Объем памяти

– Вредоносная программа обладает способностью выполнять следующие действия:
    • Начать DDoS ICMP атаку
    • Начать DDoS SYN атаку
    • Запускается DDoS TCP атака
    • Запускается DDoS UDP атака
    • Загрузить файл
    • Запустить файл
    • Запуск процедуры распространения
    • Закрыть потенциально опасную программу
    • Обновляется самостоятельно
    • Посещение веб-страницы

Хосты Хост файл изменяется следующим образом:

– В этом случае существующие строки остаются.

– Успешно блокирован доступ к следующим доменам:
   • avp.com; www.avp.com; ca.com; dispatch.mcafee.com;
      download.mcafee.com; f-secure.com; fastclick.net; ftp.f-secure.com;
      ftp.sophos.com; liveupdate.symantec.com; customer.symantec.com;
      rads.mcafee.com; mast.mcafee.com; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; support.microsoft.com;
      symantec.com; update.symantec.com; updates.symantec.com;
      us.mcafee.com; vil.nai.com; viruslist.com; www.viruslist.com;
      www.awaps.net; www.ca.com; www.f-secure.com; www.fastclick.net;
      www.mcafee.com; www.microsoft.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www3.ca.com; www.grisoft.com; grisoft.com; housecall.trendmicro.com;
      trendmicro.com; www.trendmicro.com; www.pandasoftware.com;
      pandasoftware.com; kaspersky.com; www.kaspersky.com; www.zonelabs.com;
      zonelabs.com; antivir.com; antivir.de; www.spywareinfo.com;
      spywareinfo.com; www.merijn.org; merijn.org

Модифицированный хост-файл выглядит следующим образом:

Завершение процесса Список завершаемых процессов:
   • msconfig.exe; kav.exe; kavsvc.exe; mcvsshld.exe; mcagent.exe;
      mcvsrte.exe; mcshield.exe; mcvsftsn.exe; mcdash.exe; mcvsescn.exe;
      mcinfo.exe; mpfagent.exe; mpftray.exe; mpfservice.exe; mskagent.exe;
      mcmnhdlr.exe; sndsrvc.exe; usrprmpt.exe; ccapp.exe; ccevtmgr.exe;
      spbbcsvc.exe; ccsetmgr.exe; symlcsvc.exe; npfmntor.exe; navapsvc.exe;
      issvc.exe; ccproxy.exe; navapw32.exe; navw32.exe; smc.exe;
      outpost.exe; zlclient.exe; vsmon.exe; isafe.exe; pandaavengine.exe;
      msblast.exe; bbeagle.exe; d3dupdate.exe; sysmonxp.exe; i11r54n4.exe;
      irun4.exe; mscvb32.exe; sysinfo.exe; mwincfg32.exe; wincfg32.exe;
      winsys.exe; zapro.exe; winupd.exe; enterprise.exe; regedit.exe;
      hijackthis.exe; gcasdtserv.exe; gcasserv.exe; pcctlcom.exe;
      tmntsrv.exe; tmproxy.exe; pccguide.exe; tmpfw.exe; pcclient.exe;
      AVGNT.EXE; AVWIN.EXE; taskmgr.exe; AVWUPSRV.EXE; ethereal.exe;
      mcupdmgr.exe; teekids.exe; penis32.exe

Завершение процессов с одним из следующих имен окна:
   • ISSVC; services; GuardDogEXE; microsoft antispyware*; hijackthis*;
      wscsvc; kavsvc; McShield; MCVSRte; MpfService; navapsvc; Symantec Core
      LC; ccEvtMgr; SNDSrvc; ccProxy; ccPwdSvc; ccSetMgr; SPBBCSvc; SAVScan;
      SBService; SmcService; OutpostFirewall; vsmon; CAISafe; PcCtlCom;
      TmPfw; tmproxy; Tmntsrv

Разное Мьютекс:
Создается мьютекс:
• AntiX

Данные файла Язык программирования:
Программа была написана на Visual Basic.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:

Краткое описание см. здесь.

Описание добавлено: Sergiu Oprea Mon, 05 Sep 2005 13:01 (GMT+1)
Описание обновлено: Sergiu Oprea Wed, 07 Sep 2005 15:58 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back