 |
|||||||||
|
|||||||||
| SYMBOLIC Antivirus Security Division |
| 22 Novembre 2005 |
| NOME: Sober.Y |
| ALIAS: Email-Worm.Win32.Sober.y, W32/Sober.Y@mm |
Descrizione Breve Sober.Y è stato rilevato per la prima volta il 16 Novembre, ma tuttavia ha cominciato a diffondersi il 21 Novembre. Questa variante è simile alla precedente versione Sober.K rilevata il 21 Febbraio e ad alcune versioni di Sober rilevate a metà Novembre 2005. http://www.f-secure.com/v-descs/sober_k.shtml http://www.f-secure.com/v-descs/sober_t.shtml Come le versioni precedenti, questo worm si diffonde tramite allegato e-mail in formato ZIP. Il messaggio è composto da testo in inglese oppure in tedesco. Descrizione Dettagliata Sober.Y è stato scritto in linguaggio Visual Basic e si propaga tramite un file eseguibile PE compresso con UPX di circa 55 kb. La dimensione del file decompresso è di circa 198 kb. Infezione del Sistema Una volta eseguito, il worm mostra a video un finto messaggio d'errore
Successivamente crea, nella cartella di Windows, la directory 'WinSecurity' contenente tre copie di se stesso: services.exe Inoltre il worm crea i seguenti file: mssock1.dli I primi sei file vengono utilizzati per collezionare e salvare indirizzi e-mail, mentre gli ultimi 3 file per contenere il body del worm. Il worm aggiunge,nel registro di sistema, le seguenti chiavi per eseguire il file "services.exe" [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] Sober.Y crea alcuni file vuoti, nella cartella di sistema di Windows, con i seguenti nomi: nonrunso.ber Questi file vengono usati per disattivare le varianti precedenti di Sober.
Invio tramite E-mail Il worm Sober.Y invia diversi tipi di messaggio con testo in inglese
o tedesco diffondendosi come allegato. L'allegato è un archivio
compresso che contiene l'eseguibile del worm. pmr phtm stm slk inbox imb csv bak imh xhtml imm imh
cms Gli indirizzi e-mail trovati vengono memorizzati nel file "mssock*.dlii"e in "inmem*.ory", che vengono creati nella stessa cartella in cui si trova il file eseguibile del worm. Il worm ignora gli indirizzi e-mail che contengono le seguenti sottostringhe ntp- ntp@ ntp. test@ @www @from. support smtp- @smtp. Quando il worm invia una mail ad un indirizzo che contiene la stringa "gmx." o i suffissi".de", ".li", ".ch" or ".at", compone un messaggio in tedesco, altrimenti in inglese. E' da notare che oltre agli usuali messaggi che sembrano falsi bounces, richieste di cambiamento di password, pubblicità per i video di Paris Hilton e altro il worm spedisca anche messaggi che hanno come mittente FBI e CIA. Il campo mittente di questi messaggi contiene uno dei seguenti: Department@fbi.gov (also can be Office@, Admin@, Mail@, Post@) Il subject della e-mail viene scelto tra uno dei seguenti: You visit illegal websites Il body della e-mail è il seguente: Dear Sir/Madam, we have logged your IP-address on more than 30 illegal Websites. Important: Yours faithfully, *** Federal Bureau of Investigation -FBI- Se il worm utilizza l'indirizzo @cia.gov, la fine del messaggio è differente: ++++ Central Intelligence Agency -CIA- L'allegato viene scelto tra uno dei seguenti: question_list.zip Di seguito un'esempio del messaggio che viene inviato:
Payload Il worm termina i processi che hanno all'interno del loro nome le seguenti stringhe: microsoftanti Quindi, il worm visualizza un messaggio di avviso simile a questo:
Questo trucco è ideato in modo da persuadere l'utente che nessun'infezione è stata rilevata sul suo PC, sia dal suo anti-virus che da altri tool di rimozione. Il worm può essere utilizzato per eseguire il download e l'esecuzione di file sul PC infetto. Inoltre il worm contatta molti time server per sincronizzare la sua attività. RilevazioneIl worm viene rilevato con i seguenti aggiornamenti delle impronte virali: Dettagli tecnici: Alexey Podrezov; 22 Novembre 2005 F-Secure Corporation |
