Worm/BackNine - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/BackNine
Обнаружен:	09/03/2007
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	От среднего до высокого
Файл статистики:	Да
Размер файла:	20.992 байт.
Контрольная сумма MD5:	000B5aea832ad9e266b0abe8ac0B757e
Версия VDF:	6.38.00.23
Версия IVDF:	6.38.00.23

Общее Псевдонимы (аliases):
   • Kaspersky: Trojan.Win32.Crypt.ab
   • F-Secure: Trojan.Win32.Crypt.ab
   • Bitdefender: Trojan.Ransom.B

Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

После активации запускается Windows приложение. При этом отображается следующее окно:

Файлы Создаются собственные копии:
   • %SYSDIR%\recovery.exe
   • %SYSDIR%\kkk.exe

Шифрование:
Создаются новые файлы. Файлы являются зашифрованными версиями обнаруженных файлов.

Производится поиск в следующей директории:
   • %все папки%

Имя файла архива является именем оригинального файла с добавлением архивного расширения файла

Имя файла архива::
   • *.rwg

Создается файл:

– %SYSDIR%\RansomWar.txt Файл является безвредным текстовым файлом со следующим содержимым:
   • Dear user,
      some of your files have been encrypted using a quite strong system.
     Now you are scared but I will not ask you for money.
     If you want to get back your files you can do following:
     1) Contact a good antivirus-company that will decrypt them for you
     2) You can send an email to **********@yahoo.com requesting a decryptor program
     3) You can launch your PC trought the window or use a better OS (like linux) :)

      RansomWar by [WarGame,eof]

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
• run = %SYSDIR%\recovery.exe

Email Программа использует MAPI для отправки ответов на сохраненные письма. При этом устанавливается прямое соединение с сервером. Подробности приведены ниже:

От:
Адрес отправителя - учетная запись пользователя Outlook

Дизайн письма:
Тема: You are a very lucky man, read this mail!
Текст письма:
• Hi, you won a big amount of money!!! If you want to know more look at the attachment!
Прикрепленный файл:
• BigCashForYou.exe

Письмо выглядит следующим образом:

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Tue, 15 May 2007 15:08 (GMT+1)
Описание обновлено: Andrei Gherman Tue, 15 May 2007 15:56 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back