 |
|||||||||
|
|||||||||
| SYMBOLIC Antivirus Security Division |
| 18 Febbraio 2004 |
| NOME: NetSky.B |
| ALIAS: I-Worm.Moodown.B, W32/Netsky.B, Moodown.B |
Descrizione breve Netsky.B (conosciuto anche come Moodown.B) è stato rilevato la
prima volta il 18 Febbraio 2004. E' una variante del worm NetSky.A, rilevato
due giorni fa. Il worm si diffonde per mezzo di e-mail infette con allegato
un file ZIP oppure un eseguibile. Inoltre si diffonde per mezzo degli
share di rete copiandosi nelle directory condivise di tutti i drive disponibili.
Tool di disinfezione F-Secure ha rilasciato un Tool di disinfezione. ftp://ftp.f-secure.com/anti-virus/tools/f-netsky.exe ftp://ftp.f-secure.com/anti-virus/tools/f-netsky.zip Istruzioni per l'utilizzo del tool di disinfezione ftp://ftp.f-secure.com/anti-virus/tools/f-netsky.txt Tool di disinfezione per amministratori centralizzati http://www.europe.f-secure.com/tools/f-netsky.jar ftp://ftp.europe.f-secure.com/anti-virus/tools/f-netsky.jar
Installazione nel sistema Quando il worm viene eseguito, per prima cosa mostra una falsa finestra
di dialogo:
Il worm si copia nella directory di sistema di Windows con nome SERVICE.EXE e crea una chiave di registro di sistema di Windows: [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] dove %windir% rappresenta la directory di sistema di windows. Inoltre il worm tenta di cancellare le seguenti chiavi: [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] [HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32] Dopo questo il worm inizia a collezionare indirizzi e-mail. Fa una scansione dei file con le seguenti estensioni su tutti i drive disponibili (c:-z:), ad eccezione del drive CD-ROM: .msg Se il worm trova una cartella con nome 'sharing' oppure 'share', si copia all'interno con uno dei seguenti nomi: winxp_crack.exe Diffusione via e-mail Quando la connessione internet è disponibile, il worm inizia a diffondersi. Crea dei file compressi ZIP nella directory di sistema di Windows. Il nome di questi file ZIP è lo stesso del nome del worm al loro interno. Il worm utilizza uno dei seguenti nomi per l'allegato della mail: document Il worm può utilizzare una o due estensioni per l'allegato. Come prima estensione viene scelta una delle seguenti: .txt Come seconda una tra queste:
.exe Il worm si diffonde per mezzo di allegati ZIP in messaggi e-mail oppure come allegato con uno dei nomi mostrati in precedenza. Il subject di una mail infetta può essere uno dei seguenti:
hi Il corpo della mail di un messaggio di posta infetto può essere uno dei seguenti: anything ok? Il file del worm è allegato alla mail infetta all'interno di un archivio ZIP o come normale file binario. Per infettarsi il ricevente deve scompattare l'allegato dell'archivio ZIP ed eseguirlo opppure lanciare l'allegato eseguibile. Rilevazione F-Secure Anti-Virus per Windows rileva NetSky.B con gli aggiornamenti pubblicati il 18 Febbraio 2004: [FSAV_Database_Version] Version=2004-02-18_02 Descrizione:Alexey Podrezov 18 Febbraio 2004;F-Secure Corporation |
