Worm/Winko.I - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Winko.I
Scoperto:	22/10/2007
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Basso
Potenziale di danni:	Medio
File statico:	No
Dimensione del file:	~17.000 Byte
Versione IVDF:	7.00.00.117

Generale Metodo di propagazione:
   • Unità di rete mappata

Alias:
   • Kaspersky: Worm.Win32.AutoRun.cxp
   • F-Secure: Worm:W32/AutoRun.CX
   • Grisoft: Downloader.Small.BYN
   • Eset: Win32/TrojanDownloader.Flux.AC
   • Bitdefender: Win32.Worm.Winko.I

Individuazione simile:
   • Worm/Winko.I.%numero%

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file
   • Clona un file “maligno”
   • Modifica del registro

File Si copia alle seguenti posizioni:
   • %SYSDIR%\%vari numeri casuali da 0 a 9%.EXE
   • %unità disco%\auto.exe

Cancella la copia di se stesso eseguita inizialmente.

Vengono creati i seguenti file:

– %unità disco%\autorun.inf Questo è un file di testo “non maligno” con il seguente contenuto:
   •

– %SYSDIR%\C%vari numeri casuali da 0 a 9%.dll Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Autorun.CA

Prova a scaricare un file:

– La posizione è la seguente:
   • http://33.xingaide8.cn/**********/update.txt
Questo file può contenere ulteriori posizioni per i download e potrebbe essere utilizzato come fonte di nuove minacce.

Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %stringa di caratteri casuale%]
   • Type = 10
   • Start = 2
   • ErrorControl = 1
   • ImagePath = %SYSDIR%\%vari numeri casuali da 0 a 9%.EXE -k
   • DisplayName = %stringa di caratteri casuale%
   • ObjectName = LocalSystem
   • Description = C%vari numeri casuali da 0 a 9%

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %stringa di caratteri casuale%\Security]
   • Security = %valori esadecimali%

La seguente chiave di registro che include tutti i valori e le sottochiavi, viene rimossa:
   • [HKLM\SYSTEM\CurrentControlSet\Services\ERSvc]

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Nuovo valore:
   • CheckedValue = 0

– [HKLM\SOFTWARE\Microsoft\Windows NT]
   Nuovo valore:
   • ReportBootOk= 1

– [HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting]
   Nuovo valore:
   • DoReport = 0
   • ShowUI = 0

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\C%vari numeri casuali da 0 a 9%.dll

    Tutti i seguenti processi:
   • explorer.exe
   • winlogon.exe
   • %tutti i processi in esecuzione%

   Se riuscito, il processo malware viene terminato mentre la parte inserita rimane attiva.

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in MS Visual C++.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• Upack

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Mon, 16 Jun 2008 11:43 (GMT+1)
Descrizione aggiornata da Andrei Gherman il Thu, 19 Jun 2008 07:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro