ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Email-Worm.Win32.Tettona

Classe Email-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este é o vírus worm se espalhando pela Internet, sendo anexado a e-mails infectados. O worm também tem rotina de backdoor.

O próprio worm é um arquivo EXE do Windows PE com cerca de 35Kb de comprimento (compactado por Petite, tamanho descompactado – cerca de 75Kb), escrito em Microsoft Visual C ++.

Os textos e nomes de arquivos anexados em mensagens infectadas são diferentes, eles dependem da data atual e do suporte ao idioma italiano:

Os assuntos são:

Incrível .. Incrível .. Urgente! (vedi allegato) Qualsai cosa fai, falla al meglio.

O corpo da mensagem começa com o texto "Olá" ou "Ciao", e os corpos são:

 veja este arquivo interessante.
 okkio all'allegato ;-)
 devi assolutamente vedere il arquivo che ti ho allegato.
 apri subito l'allegato, e 'MOLTO interessante.

O corpo da mensagem é preenchido com "A presto ..." ou "Bye". texto.

Arquivos anexados:

   tettona.exe
   euro.exe
   tattoo.exe

O worm é ativado a partir do e-mail infectado apenas no caso de um usuário clicar no arquivo anexado. O worm então se instala no sistema, executa a rotina de propagação e backdoor.

Instalando

Ao instalar o worm, copia-se para o diretório do Windows com o nome DLLMGR32.EXE e registra esse arquivo na chave de execução automática do registro do sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun DllManager =% windir% dllmgr32.exe

O worm exibe a mensagem de erro falsa:

 Erro
  VBRUN49.DLL não encontrado!
Espalhando

Para enviar mensagens infectadas, o worm usa conexão direta com o servidor SMTP padrão, abre o banco de dados WAB (Catálogo de Endereços do Windows) e envia mensagens para todos os endereços encontrados nele.

Porta dos fundos

O procedimento de backdoor abre a conexão na porta 5001 e ouve o "mestre". Em seguida, processa as seguintes instruções:

 "HELO" - responde com o texto "Olá, cara"
 "SCAN" - verifica todos os diretórios e reporta dir / files lá (como o comando DIR remoto)
 "EXEC" - executa o arquivo especificado
 "UNINST" - remove-se do sistema, incluindo a chave de registro "Run".
 "VIEW" - exibe para o arquivo "mestre" especificado
 "DOWN" - downloads para o arquivo "master" especificado
Carga útil

Em 12 de janeiro, o worm exibe a mensagem:

 Olá,

  Tchau,
  o computador � infettato dal virus Fral�.
  Certo che devi essere proprio un pirlone,
  por esserti fatto fregare dal mio estupidissimo verme.
  Va b�, v�, non ti preoccupare, oggi non sono in ve di cattiverie,
   � anche un giorno festivo per me.

  Buona giornata ..
  por 4nt4R35

Link para o original