Worm/AutoIt.B - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/AutoIt.B
Обнаружен:	20/09/2006
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	181.472 байт.
Контрольная сумма MD5:	2c978e0144ec56646a527473b87ebb6b
Версия VDF:	6.36.00.36
Версия IVDF:	6.36.00.46

Общее Метод распространения:
   • Messenger

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Изменение реестра

Файлы Создаются собственные копии:
• %WINDIR%\svchost32.exe
• %temporary internet files%\Content.IE5\C5MBSP2B\host[1].jpg

Реестр Добавляются следующие ключи реестра:

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.geocities.co.jp/**********"
   • "Window Title"="Viva TermeX !"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="c:\windows\\svchost32.exe"

Изменяется следующий ключ реестра:

Отключение редактора реестра и менеджера задач:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Прежнее значение:
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001
   Новое значение:
   • "DisableTaskMgr"=%Настройки пользователя%
   • "DisableRegistryTools"=%Настройки пользователя%

Messenger Распространяется с помощью программы Messenger. Основные характеристики:

– Yahoo Messenger

Кому:
Все записи из списка контактов.

Сообщение
Отправленное сообщение может иметь один из следующих видов:

   • the only way to clean some online viruses that may lead you into troubles : %ссылка% <<

   • A new dangerous computer virus that can destroys all your data has just been released . Click here to know how to avoid it : %ссылка% <<

   • have you ever seen such a silly man like this ? %ссылка% =))

   • Just check out my new personal website : %ссылка% C00l !!!

   • Now you can avoid some critical online viruses by updating Windows . Click here to know how to Update your Windows : %ссылка%

   • wtf is this ? Wanna give me a shit ? %ссылка% x-( <<

   • Let's vote for Miss Vietnam - Mai Phuong Thuy - for the upcoming Miss World championship : %ссылка% !!

   • cool girls : %ссылка% :x:x:x:x:x

   • Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: %ссылка%

   • making money online never be easier : %ссылка%

   • di'nh virus ru`i =)) du`ng cai nay ma diet na`y : %ссылка%

   • Download free MP3s : %ссылка% <<

   • ha`i dek chiu dc =)) %ссылка% =)) =))

%ссылка%
Пока групповой символ соответствует одному из следующих:
   • http://www.geocities.co.jp/**********
   • http://www.geocities.co.jp/**********

Полученные сообщения могут выглядеть следующим образом:

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Victor Tone Mon, 18 Sep 2006 10:26 (GMT+1)
Описание обновлено: Victor Tone Wed, 20 Sep 2006 14:40 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back