Worm/Biatch - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Biatch
Обнаружен:	17/01/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	20.480 байт.
Контрольная сумма MD5:	d9c745ef21721938fd44b8bf85717b8c

Общее Метод распространения:
   • Локальная сеть

Псевдонимы (аliases):
   • Mcafee: W32/Pinom.worm!backdoor
   • TrendMicro: WORM_PINOM.A
   • Bitdefender: Win32.Worm.Pinom.G

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\penis.exe

Реестр Изменяется следующий ключ реестра:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Прежнее значение:
   • "Shell"="Explorer.exe"
   Новое значение:
   • "Shell"="Explorer.exe %SYSDIR%\penis.exe"

Сетевое инфицирование Вредоносная программа пытается установить соединение с другим компьютером для целей дальнейшего распространения. Подробности приводятся далее.

Копия объекта помещается в следующую сетевой ресурс общего доступа:
   • %все папки общего доступа%\setup.exe

Для обеспечения доступа к удаленному компьютеру используется следующая регистрационная информация:

– Список имен пользователей и паролей:
   • 1234; 0; 7; 110; 111; 123; 1111; 1313; 2002; 2003; 2112; 2600; 5150;
      6969; 7777; 12345; 54321; 111111; 121212; 123123; 123456; 654321;
      901100; 1234567; 11111111; 12345678; 88888888; 123456789; 1234qwer;
      123abc; 123asd; 123qwe; aaa; abc; abc123; abcd; admin; Admin;
      admin123; administrator; Administrator; alpha; asdf; baseball; ccc;
      computer; database; enable; fish; foobar; god; godblessyou; golf;
      Guest; harley; home; ihavenopass; Internet; letmein; login; Login;
      love; mustang; mypass; mypass123; mypc; mypc123; oracle'pwd; owner;
      Owner; pass; passwd; password; Password; pat; patrick; pussy; pw123;
      qwer; qwerty; root; Root; secret; server; sex; shadow; super; sybase;
      temp; temp123; test; test123; win; xxx; yxcv; zxcv

Генарация IP адресов:
Создаются случайные IP адреса и производится попытка установить соединение с этим адресом.

Удаленная активация:
–Осуществляется попытка запуска вредоносной программы на вновь зараженном компьютере. Это реализируется с помощью функции NetScheduleJobAdd.

IRC Для передачи системной информации и установки удаленного соединения происходит подключение к IRC серверу:

Сервер: genesis.ga**********.us
Порт: 6667
Канал: #peniz
Имя: %случайная буквенная комбинация%
Пароль: pubic

– Вредоносная программа обладает способностью выполнять следующие действия:
    • Загрузить файл
    • Запустить файл
    • Произвести DDoS атаку
    • Закрыть потенциально опасную программу
    • Обновляется самостоятельно
    • Посещение веб-страницы

Данные файла Язык программирования:
Программа была написана на Delphi.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Iulia Diaconescu Wed, 18 Jan 2006 11:54 (GMT+1)
Описание обновлено: Andrei Gherman Tue, 24 Jan 2006 12:57 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back