Worm/Winko.I - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Winko.I
Обнаружен:	22/10/2007
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От низкого до среднего
Потенциал повреждений:	Средний
Файл статистики:	Нет
Размер файла:	~17.000 байт.
Версия IVDF:	7.00.00.117

Общее Метод распространения:
   • Подключенные сетевые диски

Псевдонимы (аliases):
   • Kaspersky: Worm.Win32.AutoRun.cxp
   • F-Secure: Worm:W32/AutoRun.CX
   • Grisoft: Downloader.Small.BYN
   • Eset: Win32/TrojanDownloader.Flux.AC
   • Bitdefender: Win32.Worm.Winko.I

Похожее обнаружение:
   • Worm/Winko.I.%Число%

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Загружает файлы
   • Создает потенциально опасный файл
   • Изменение реестра

Файлы Создаются собственные копии:
   • %SYSDIR%\%множестов случайных чисел от 0 до 9%.EXE
   • %Диск%\auto.exe

Выполненная копия программы удаляется.

Создаются следующие файлы:

– %Диск%\autorun.inf Файл является безвредным текстовым файлом со следующим содержимым:
   •

– %SYSDIR%\C%множестов случайных чисел от 0 до 9%.dll Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: TR/Autorun.CA

Попытка загрузки следующего файла:

– Следующий URL:
   • http://33.xingaide8.cn/**********/update.txt
Файл может содержать адреса для загрузки дополнительных источников возможных угроз.

Реестр Для загрузки службы после перезагрузки системы добавляются следующие ключи реестра.

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %случайная буквенная комбинация%]
   • Type = 10
   • Start = 2
   • ErrorControl = 1
   • ImagePath = %SYSDIR%\%множестов случайных чисел от 0 до 9%.EXE -k
   • DisplayName = %случайная буквенная комбинация%
   • ObjectName = LocalSystem
   • Description = C%множестов случайных чисел от 0 до 9%

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %случайная буквенная комбинация%\
   Security]
   • Security = %шестнадцатиричное значение%

Удаляются все значения следующего ключа реестра и его подключей:
   • [HKLM\SYSTEM\CurrentControlSet\Services\ERSvc]

Изменяются следующие ключи реестра:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\Hidden\SHOWALL]
   Новое значение:
   • CheckedValue = 0

– [HKLM\SOFTWARE\Microsoft\Windows NT]
   Новое значение:
   • ReportBootOk= 1

– [HKLM\SOFTWARE\Microsoft\PCHealth\ErrorReporting]
   Новое значение:
   • DoReport = 0
   • ShowUI = 0

Инфицирование – Следующий файл вставляется в процесс: %SYSDIR%\C%множестов случайных чисел от 0 до 9%.dll

    Все следующие процессы:
   • explorer.exe
   • winlogon.exe
   • %все активные процессы%

   При успешном выполнении вредоносная программа завершается. Инфицированная часть остается при этом активной.

Данные файла Язык программирования:
Программа была написана на MS Visual C++.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• Upack

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Mon, 16 Jun 2008 11:43 (GMT+1)
Описание обновлено: Andrei Gherman Thu, 19 Jun 2008 07:59 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back