Worm/Wigon.AB - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Wigon.AB
Обнаружен:	15/08/2007
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	От низкого до среднего
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Низкий
Файл статистики:	Да
Размер файла:	20.992 байт.
Контрольная сумма MD5:	570C666DCD49D81FEB036C14A3DC99BD
Версия VDF:	6.39.1.5
Версия IVDF:	6.39.1.5

Общее Метод распространения:
   • Email

Псевдонимы (аliases):
   • Kaspersky: Trojan-Downloader.Win32.Agent.brk
   • F-Secure: Trojan-Downloader.Win32.Agent.brk
   • Eset: a variant of Win32/TrojanDownloader.Agent.BRK

Неработающие варианты могут быть определены следующим образом:
   • Worm/Wigon.AB

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает вредоносного файл
   • Создает вредоносные файлы
   • Использует собственный почтовый движок

Файлы Создается следующая директория:
• %WINDIR%\temp

Файл будет переписан.
– %SYSDIR%\drivers\ip6fw.sys

Создаются следующие файлы:

– %SYSDIR%\drivers\runtime2.sys Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: RKIT/Posh.A

– %TEMPDIR%\startdrv.exe Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: Worm/Wigon.A

Попытка загрузки следующего файла:

– Следующий URL:
• http://66.246.252.215/**********
Сохраняется локально в: %TEMPDIR%\%множестов случайных чисел от 0 до 9%8.exe Данный файл запускается на выполнение после его полной загрузки. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Wigon.AB

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • startdrv"=%TEMPDIR%\startdrv.exe"

Добавляются следующие ключи реестра:

– HKLM\SYSTEM\CurrentControlSet\Services\ip6fw\Enum
   • "0"="Root\\LEGACY_IP6FW\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000]
   • "Service"="ip6fw"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="IPv6 Windows Firewall Driver"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_IP6FW\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="ip6fw"

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:

От:
Адрес отправителя был фальсифицирован.
Собранные в Интернет адреса. Отправитель мог не иметь намерения отправлять это письмо. Он может ничего не знать об инфицировании свой системы. Вы можете получать письма с утверждением об инфицировании Вашей системы.
Список возможных отправителей письма:
   • "Abel Goldberg"
   • "Adrian Hobbs"
   • "Andrea Feldman"
   • "Angelo Wilkerson"
   • "Ariel Peck"
   • "Bradley Buckley"
   • "Brent Reeder"
   • "Casey Langford"
   • "Casey Meade"
   • "Cecil Stapleton"
   • "Claudette Waters"
   • "Claudine Conway"
   • "Dallas Doss"
   • "Darnell Kramer"
   • "Dewayne Meyers"
   • "Dion Dillard"
   • "Edward Blanchard"
   • "Gwen Lynn"
   • "Hazel French"
   • "Henry Mcintyre"
   • "Hershel Timmons"
   • "Ines Connolly"
   • "Jared Day"
   • "Joshua Wilkerson"
   • "Kaitlin Henson"
   • "Katheryn Amos"
   • "Kip Starks"
   • "Krystal Hand"
   • "Lamont Calloway"
   • "Lenard Clark"
   • "Louis Kane"
   • "Margaret Skinner"
   • "Michael Mcnamara"
   • "Myra Crockett"
   • "Noe Sweeney"
   • "Polly Proctor"
   • "Quinton Wu"
   • "Randal Zamora"
   • "Rena Russo"
   • "Rene May"
   • "Roderick Cornell"
   • "Rudy Kaufman"
   • "Russ Calvert"
   • "Sergio Bolden"
   • "Sherman Crowe"
   • "Sherry Proctor"
   • "Susana Short"
   • "Tamika Buck"
   • "Tanner Payne"
   • "Tanner Reece"
   • "Trina Ortega"
   • "Truman Silva"
   • "Twila Short"
   • "Victoria Bridges"
   • "Virgil Dahl"
   • "Will Bowman"
   • "Wilson Dukes"
   • "Winifred Hairston"
   • "Winston Earl"
   • "Abby William"
   • "Abdul Dawkins"
   • "Abe Watson"
   • "Albert Dobson"
   • "Alberto Mcqueen"
   • "Alejandra Haines"
   • "Amelia Bernard"
   • "Amie Dove"
   • "Andrea Guerra"
   • "Angelique Haas"
   • "Ann Crump"
   • "Anna Heath"
   • "Annie Porter"
   • "Belinda Wolff"
   • "Benita Hopkins"
   • "Bennie Mcintyre"
   • "Beverly Snider"
   • "Blanca Prince"
   • "Bradley Cummins"
   • "Bradly Kaiser"
   • "Brady Dukes"
   • "Brenda Atwood"
   • "Brent Johns"
   • "Brice Brunson"
   • "Bridgett Henderson"
   • "Britney Vincent"
   • "Bruno Simons"
   • "Buford Bonds"
   • "Burton Lovett"
   • "Camille Mayberry"
   • "Carmen Bush"
   • "Cathryn Best"
   • "Celina Herbert"
   • "Chance Whitman"
   • "Charity Darling"
   • "Charlie Bonilla"
   • "Clara Meza"
   • "Claudia Fernandez"
   • "Claudio Frazier"
   • "Coleman Souza"
   • "Connie Alexander"
   • "Constance Kirby"
   • "Craig Washburn"
   • "Cristina Vincent"
   • "Damon Massey"
   • "Dante Dougherty"
   • "Darin Lancaster"
   • "Daryl Root"
   • "Deann Harding"
   • "Derick Wilder"
   • "Dion Gill"
   • "Dorothea Fleming"
   • "Dwayne Snow"
   • "Edith Burton"
   • "Eduardo Macdonald"
   • "Edwardo Brunson"
   • "Efren Walden"
   • "Eli Finn"
   • "Elise Quinones"
   • "Elnora Wagner"
   • "Elsie Fischer"
   • "Erin Carlisle"
   • "Ernestine Novak"
   • "Ernie Dickey"
   • "Errol Kent"
   • "Eugenia Snyder"
   • "Evangelina Nguyen"
   • "Evangelina Perkins"
   • "Forest Kinney"
   • "Frieda Guidry"
   • "Fritz Reeves"
   • "Gale Waters"
   • "Gavin Barry"
   • "Gayle Otto"
   • "Gina Lundy"
   • "Glen Valencia"
   • "Glenda Bartley"
   • "Glenn Matthews"
   • "Gregory Sosa"
   • "Gretchen Hodge"
   • "Gustavo Woodson"
   • "Guy Morin"
   • "Harry Dean"
   • "Henrietta Rucker"
   • "Hunter Pickens"
   • "Ilene Souza"
   • "Israel Duarte"
   • "Jamal Ortega"
   • "Jamie Sykes"
   • "Jan Gamble"
   • "Jayson Wiseman"
   • "Jeff Steele"
   • "Jeffery Steiner"
   • "Jenna Rodgers"
   • "Jim Perkins"
   • "Jo Reese"
   • "Joan Roper"
   • "Jody Holcomb"
   • "John Hays"
   • "Johnathan Christensen"
   • "Johnie Bruno"
   • "Joni Vera"
   • "Josephine Woodward"
   • "Jules Ward"
   • "Juliet Maddox"
   • "Justine Gipson"
   • "Karla Robbins"
   • "Kate Carrillo"
   • "Kent Albert"
   • "Kermit Gunter"
   • "Krystal Jensen"
   • "Lacy Boswell"
   • "Larry Davila"
   • "Laurence Babb"
   • "Laverne Middleton"
   • "Leanna Spears"
   • "Leon Alexander"
   • "Les Stanley"
   • "Lora Connor"
   • "Lorie Buckner"
   • "Lorrie Herring"
   • "Luann Tapia"
   • "Lucile Beck"
   • "Lupe Terrell"
   • "Mable Cortez"
   • "Mac Floyd"
   • "Mack Hutchins"
   • "Malcolm Nava"
   • "Mari Rich"
   • "Mariano Herring"
   • "Marie Boucher"
   • "Marty Earl"
   • "Maryanne Cortes"
   • "Melvin Goodwin"
   • "Merrill Gilbert"
   • "Mickey Guthrie"
   • "Misty Flowers"
   • "Moises Clemons"
   • "Mollie Brooks"
   • "Monica Davison"
   • "Myrtle Gentry"
   • "Nadine Odom"
   • "Neal Monroe"
   • "Noel Aragon"
   • "Olive Richards"
   • "Oliver Adams"
   • "Otis Smith"
   • "Patrice Malone"
   • "Rachelle Garland"
   • "Randal Yu"
   • "Richard Cook"
   • "Roberta Bright"
   • "Ronny Johns"
   • "Roosevelt Salgado"
   • "Rosario Daly"
   • "Roseann Browning"
   • "Rosemarie Poole"
   • "Roy Shipley"
   • "Rubin Webb"
   • "Rupert Conrad"
   • "Russell Chacon"
   • "Sanford Nicholson"
   • "Sarah Gipson"
   • "Scotty Bartley"
   • "Sebastian Reeves"
   • "Shane Tipton"
   • "Shauna Prather"
   • "Sheila Coleman"
   • "Shelia Haas"
   • "Shirley Hedrick"
   • "Sofia Lutz"
   • "Stefan Wilkinson"
   • "Stephan Wiseman"
   • "Susie Carroll"
   • "Sylvester Carson"
   • "Tad Melendez"
   • "Tameka Richardson"
   • "Tammy Sheehan"
   • "Tania Kaiser"
   • "Tanisha Lockhart"
   • "Tara Golden"
   • "Tara Wallace"
   • "Terrie Denton"
   • "Therese Sorensen"
   • "Tia Delarosa"
   • "Tomas Conner"
   • "Tommie Nguyen"
   • "Traci Collier"
   • "Trinidad Akins"
   • "Tyson Thomson"
   • "Van French"
   • "Vicky Blackmon"
   • "Vito Frost"
   • "Wade Arellano"
   • "Warren Bloom"
   • "Willie Vickers"
   • "Young Calhoun"

Кому:
– Собранные в Интернете адреса.

Тема:
Одно из следующих:
   • Here is it
   • Hot game
   • Hot pictures
   • Something hot
   • You ask me about this game, Here is it

Тело письма имеет один из следующих видов:

   • %Заменитель символов 1%, %Заменитель символов 2%!
     Funny game. %Заменитель символов 3% fucks %Заменитель символов 4%... In your attachemnt.



   • %Заменитель символов 1%, %Заменитель символов 2%!
     Amusing game. %Заменитель символов 3% fucks %Заменитель символов 4%... In your attachemnt.

Иногда продолжается одним из следующих:

   • Bye.

   • Best Regards.

   • Thanks.

   • Regards.

%Заменитель символов 1% распространяется на одну из следующих позиций:
   • Hi
   • Good morning
   • Good afternoon
   • Good evening
   • Good Day
   • Hello
   • Helo

%Заменитель символов 2% распространяется на одну из следующих позиций:
   • buddy
   • dear Friend
   • dear
   • friend
   • man
   • old chap

%Заменитель символов 3% распространяется на одну из следующих позиций:
   • Angelina Jolie
   • Carrie Ann Moss
   • Lara Croft
   • Nicole Kidman

%Заменитель символов 4% распространяется на одну из следующих позиций:
   • Dart Wader
   • Harry Potter
   • Luke Skywalker

Прикрепленный файл:
Следующее имя прикрепленного файла:
   • isit.zip

Прикрепленный архивный файл содержит копию потенциально опасной программы.

Краткое описание см. здесь.

Описание добавлено: Lutz Koch Wed, 15 Aug 2007 13:47 (GMT+1)
Описание обновлено: Lutz Koch Wed, 15 Aug 2007 16:01 (GMT+1)

» О вредоносном ПО
» О фишинге
» В список опасных вирусов

« назад