Worm/Savage.B - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Savage.B
Обнаружен:	07/09/2005
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	51.200 байт.
Контрольная сумма MD5:	2c7482ca657f3ef1bd4d5c88abe204e5
Версия VDF:	6.31.1.200

Общее Методы распространения:
   • Email
   • Одноранговая сеть

Псевдонимы (аliases):
   • Mcafee: W32/Savage.gen@MM
   • Kaspersky: Email-Worm.Win32.Savage.b
   • TrendMicro: WORM_SAVAGE.A
   • F-Secure: W32/Savage.A@mm
   • VirusBuster: I-Worm.Savage.B
   • Bitdefender: Win32.Savage.B@mm

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Блокирует доступ к веб-страницам IT-security компаний
   • Отключение приложений безопасности
   • Загружает файл
   • Использует собственный почтовый движок
   • Снижает уровень настроек безопасности
   • Изменение реестра

После активации запускается Windows приложение. При этом отображается следующее окно:

Файлы Создается собственная копия:
   • %sysdir%\lsasrv.exe

Создаются следующие файлы:

– Файл предназначен для временного использования и может быть удален.
   • %temp%\Me^sa~e4%

– %sysdir%\version.ini
– %sysdir%\iexplor.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой.
– %sysdir%\shlapiw.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой.

Попытка загрузки следующего файла:

– Следующий URL:
   • **********est.org.uk/imp/lost/wm/comms.txt
Сохраняется локально в: %sysdir%\upd.ini

Реестр Добавляются ключи реестра для повторного запуска процессов после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "lsass"="%Рабочая папка вредоносной программы%\%выполненный файл%"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="explorer.exe %Рабочая папка вредоносной программы%\%выполненный файл%"

Удаляются значения следующего ключа реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "windows auto update"="penis32.exe"
   • "Microsoft Inet Xp.."="teekids.exe"
   • "windows auto update"="msblast.exe"
   • "System MScvb"="%WINDIR%\mscvb32.exe"
   • "sysinfo.exe"="sysinfo.exe"
   • "PandaAVEngine"="%WINDIR%\PandaAVEngine.exe"
   • "TaskMon" = "taskmon.exe"

Добавляются следующие ключи реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\iexplore.exe]
   • "Debugger"="%Рабочая папка вредоносной программы%\%выполненный файл%""

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SSavage]

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:

От:
Адрес отправителя был фальсифицирован.
Генерированные адреса. Отправитель мог не иметь намерения отправлять это письмо. Он может ничего не знать об инфицировании свой системы. Вы можете получать письма с утверждением об инфицировании Вашей системы.

Кому:
– В определенных файлах системы были обнаружены электронные адреса.
– Полученные из WAB (адресная книга Windows) адреса электронной почты
– Сгенерированные адреса

Тема:
Одно из следующих:
   • Error
   • Status
   • Server Report
   • Mail Transaction Failed
   • Attention!!!
   • Mail Delivery System
   • hello
   • Do not reply to this email
   • Good day

Тело:
– Содержит HTML код.
Тело письма имеет один из следующих видов:

   • You think it's funny? You are stupid idiot!!! I'll send the attachment to your ISP and then I'll be watching how you will go to jail, punk!!!

   • Attention! New self-spreading virus!


     Be careful, a new self-spreading virus called "RTSW.Smash" spreading very fast via e-mail and P2P networks. It's about two million people infected and it will be more.
     To avoid your infection by this virus and to stop it we provide you with full information how to protect yourself against it and also including free remover. Your can find it in the attachment.


     p 2004 Networks Associates Technology, Inc. All Rights Reserved

   • New terms and conditions for credit card holders


     Here a new terms and conditions for credit card holders using a credit cards for making purchase in the Internet in the attachment. Please, read it carefully. If you are not agree with new terms and conditions do not use your credit card in the World Wide Web.

     Thank you,
     The World Bank Group
     " 2004 The World Bank Group, All Rights Reserved

   • Thank you for registering at WORLDXXXPASS.COM


     All your payment info, login and password you can find in the attachment file.

     It's a real good choise to go to WORLDXXXPASS.COM

   • Attention! Your IP was logged by The Internet Fraud Complaint Center


     Your IP was logged by The Internet Fraud Complaint Center. There was a fraud attempt logged by The Internet Fraud Complaint Center from your IP. This is a serious crime, so all records was sent to the FBI.
     All information you can find in the attachment. Your IP was flagged and if there will be anover attemption you will be busted.


      This message is brought to you by the Federal Bureau of Investigation and the National White Collar Crime Center

   • You have visited illegal websites.
I have a big list of the websites you surfed.

   • Mail transaction failed. Partial message is available.

   • The message contains Unicode characters and has been sent as a binary attachment.

   • The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

   • Do not visit these sites!!!

   • Your credit card was charged for $500 USD. For additional information see the attachment

   • ESMTP [Secure Mail System 334]: Secure message is attached.

   • Encrypted message is available.

   • Delivered message is attached.

   • Can you confirm it?

   • Binary message is available.

   • am shocked about your document!

   • Are you a spammer? (I found your email on a spammer website!?!)

   • Bad Gateway: The message has been attached.

Прикрепленный файл:
Следующее имя прикрепленного файла:
   • tmp.zip

Прикрепленный файл является копией вредоносной программы:

Отправка Поиск адресов:
Проверка следующих файлов на наличие в них электронных адресов:
   • wab; adb; tbb; dbx; asp; edm; vbs; wml; jst; tpl; conf; vbp; csp; asm;
      asc; asa; dwt; lbi; rdf; rss; xst; xsd; dlt; xml; jsp; inc; ssi; stm;
      xht; htc; hta; cgi; php; sht; htm; html; txt

Создание адресов отправителя и получателя:
Для генерации адресов применяются следующие строки:
   • sandra; linda; julie; jimmy; jerry; helen; debby; claudia; brenda;
      anna; alice; brent; adam; ted; fred; jack; bill; stan; smith; steve;
      matt; dave; dan; joe; jane; bob; robert; peter; tom; ray; mary; serg;
      brian; jim; maria; leo; jose; andrew; sam; george; david; kevin; mike;
      james; michael; alex; john

Комбинируется с доменным именем из следующего списка или с обнаруженными в файлах адресами

Одно из следующих доменных имен:
   • trendmicro.com; nai.com; networkassociates.com; mcaffe.com;
      symantec.com; avp.com; compuserve.com; juno.com; earthlink.net;
      yahoo.co.uk; hotmail.com; yahoo.com; msn.com; aol.com

Избегает обращение по адресу:
Не отправляются письма на адреса с одной из следующих последовательностей символов:
   • accoun; certific; listserv; ntivi; support; admin; page; the.bat;
      gold-certs; feste; submit; not; help; service; privacy; somebody;
      soft; contact; rating; bugs; you; your; someone; anyone; nothing;
      nobody; noone; webmaster; postmaster; samples; info; root; be_loyal:;
      mozilla; utgers.ed; tanford.e; pgp; asketst; secur; isc.o; isi.e;
      ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet; fido; linux;
      kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math; unix; berkeley;
      foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai; example; inpris;
      borlan; sopho; panda; icrosoft; syma; avp; abuse; www; spam; spm; .edu

Присоединение последовательности символов:
Для получения IP адреса почтового сервера перед доменным именем указываются следующие строки:
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mx1.
   • smtp.
   • mail.
   • mx.

P2P Предпринимаемые для инфицирования других систем в одноранговой сети действия: Производится поиск следующих папок:
   • %progdir%\eDonkey2000\incoming
   • %progdir%\LimeWire\Shared

   Для определения стандартных папок для загрузки происходит обращение к реестру:
   • [HKCU\Software\Kazaa\Transfer\DlDir0]
   • [HKCU\SOFTWARE\Morpheus\Install_Dir]
   • [HKCU\SOFTWARE\iMesh\Client\DownloadDir]

   Происходит поиск следующих стандартных папок общего доступа:
   • Kazaa
   • Morpheus
   • iMesh

   При успешном завершении поиска создаются следующие файлы:
   • porno
   • NeroBROM6.3.1.25
   • avpprokey
   • Ad-awareref01R344
   • winxp_sp2patch
   • adultsitespasswds
   • dcom_patch
   • K-LiteCodecPack2.32a
   • activation_crack
   • icq2004-final
   • winamp5

   Файлы являются копиями потенциально опасной программы

Хосты Хост файл изменяется следующим образом:

– Успешно блокирован доступ к следующим доменам:
   • www.symantec.com; securityresponse.symantec.com; symantec.com;
      www.sophos.com; sophos.com; www.mcafee.com; mcafee.com;
      liveupdate.symantecliveupdate.com; www.viruslist.com; viruslist.com;
      www.f-secure.com; f-secure.com; kaspersky.com; kaspersky-labs.com;
      www.avp.com; avp.com; www.kaspersky.com; www.networkassociates.com;
      networkassociates.com; www.ca.com; ca.com; mast.mcafee.com;
      www.my-etrust.com; my-etrust.com; download.mcafee.com;
      dispatch.mcafee.com; secure.nai.com; www.nai.com; nai.com;
      update.symantec.com; updates.symantec.com; us.mcafee.com;
      liveupdate.symantec.com; customer.symantec.com; rads.mcafee.com;
      www.trendmicro.com; trendmicro.com; www.grisoft.com; grisoft.com;
      downloads1.kaspersky.com; downloads2.kaspersky.com;
      ftp.downloads1.kaspersky-labs.com; ftp.downloads2.kaspersky-labs.com;
      updates1.kaspersky-labs.com; updates3.kaspersky-labs.com;
      updates2.kaspersky-labs.com

Модифицированный хост-файл выглядит следующим образом:

Завершение процесса Список завершаемых процессов:
   • i11r54n4; irun4; d3dupdate; rate; ssate; winsys; winupd; SysMon;
      bbeagle; Penis32; teekids; MSBLAST; mscvb32; sysinfo; PandaAVEngine;
      taskmon; wincfg32; outpost; zonealarm; navapw32; navw32; zapro;
      msblast; netstat

Список завершаемых служб:
   • wscsvc
   • SharedAccess
   • Norton Program Scheduler
   • KAVMonitorService
   • OutpostFirewall

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Iulia Diaconescu Thu, 08 Sep 2005 12:15 (GMT+1)
Описание обновлено: Iulia Diaconescu Mon, 19 Sep 2005 14:40 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back