Sicurezza

W32.Netsky.Y@mm

Una variante di W32.Netsky.X@mm

In data 20.04.04, a causa di un aumento dei casi di infezione rilevati, il Symantec Security Response ha modificato il livello di gravità di questa minaccia, portandolo dal grado 2 al grado 3.

W32.Netsky.Y@mm è una variante di W32.Netsky.X@mm ed esegue una scansione di tutte le unità, escluse quelle CD-ROM, sul computer infetto alla ricerca di indirizzi e-mail. Utilizza quindi il proprio motore SMTP per inviarsi a tutti gli indirizzi di posta elettronica che trova.

Il formato dell'e-mail è:

Oggetto: Delivery failure notice (ID-<numero casuale>)
Allegato: www.<nome dominio casuale>.<nome utente casuale>.session-<numero casuale>.com

Questa minaccia è compressa con PE-Pack.

Quando il worm 32.Netsky.Y@mm viene eseguito, si comporta nel modo seguente:

1. Si copia con il nome %Windir%\FirewallSvr.exe.
   
   

   ---

   Nota: %Windir% è una variabile. Il worm individua la cartella d'installazione di Windows (che per impostazione predefinita si trova sul percorso C:\Windows o C:\Winnt) e si replica in tale posizione.

   ---

   
   
2. Aggiunge il valore:
   
   "FirewallSvr"="%Windir%\FirewallSvr.exe"
   
   alla chiave del Registro di sistema:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
   per essere eseguito al riavvio di Windows.
   
   
3. Crea un mutex denominato "____--->>>>U<<<<--____" in modo che una sola copia del worm venga eseguita.
   
   
4. Rilascia una copia di se stesso con codifica MIME, dal nome %Windir%\fuck_you_bagle.txt.
   
   
5. Si mette in ascolto sulla porta TCP 82 per ricevere il file eseguibile inviato dall'aggressore e poi eseguirlo.
   
   
6. Se la data dell'orologio di sistema è compresa tra il 28 aprile 2004 e il 30 aprile 2004, il worm tenterà di sferrare un attacco di tipo Denial of Service (DoS) contro I seguenti siti Web:
   
   • www.nibis.de
   • www.medinfo.ufl.edu
   • www.educa.ch
     
     
7. Esegue una scansione delle unità da C a Z (escludendo le unità CD-ROM) e raccoglie gli indirizzi e-mail da tutti i file con le seguenti estensioni:
   
   • .eml
   • .txt
   • .php
   • .cfg
   • .mbx
   • .mdx
   • .asp
   • .wab
   • .doc
   • .vbs
   • .rtf
   • .uin
   • .shtm
   • .cgi
   • .dhtm
   • .abd
   • .tbb
   • .dbx
   • .pl
   • .htm
   • .html
   • .sht
   • .oft
   • .msg
   • .ods
   • .stm
   • .xls
   • .jsp
   • .wsh
   • .xml
   • .mht
   • .mmf
   • .nch
   • .ppt
     
     
8. Utilizza il proprio motore SMTP per inviarsi a hukanmikloiuo@yahoo.com ed a tutti gli indirizzi di e-mail che trova.
   
   Le caratteristiche del messaggio e-mail sono le seguenti:
   
   Da: <mascherato>

Oggetto: Delivery failure notice (ID-<numero casuale>)

Messaggio:

--- Mail Part Delivered ---
220 Welcome to
Mail type: multipart/related
--- text/html RFC 2504
MX [Mail Exchanger] mx.mt2.kl.<casuale>
Exim Status OK.
<parola casuale> message is available.

dove <parola casuale> può essere una delle seguenti:

New
Partial
External
Delivered

Allegato: www. <nome dominio casuale>.<nome utente casuale>.session-<numero casuale>.com



Il worm tenta di utilizzare il server DNS predefinito per individuare l'indirizzo IP del server di posta.

Per approfondire l'argomento cliccare sul link seguente:

W32.Netsky.Y@mm

• » Invia tramite EMAIL
• » Versione per la STAMPA
• » Le vostre opinioni