ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Net-Worm.Win32.Bizex

Classe Net-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este worm usa o sistema de mensagens instantâneas ICQ da Internet para se espalhar pela Internet.

O worm envia aos usuários do ICQ uma mensagem com um URL, que é vinculado a um arquivo que contém procedimentos para baixar e executar automaticamente o componente malicioso do worm no computador da vítima.

Propagação

Ao conectar-se ao site

 http://www.jokeworld.xxx/xxx.html 

(x aqui é usado para substituir certos caracteres) o CHM-exploit-a é usado. O resultado disso é que um arquivo CHM especialmente construído é executado automaticamente no computador da vítima. Este arquivo contém outro arquivo chamado 'iefucker.html'; Este arquivo contém o TrojanDropper, um tipo de cavalo de Tróia escrito em linguagem de script. Este Trojan extrai um arquivo chamado WinUpdate.exe de si mesmo para vários diretórios do sistema.

No Windows 2000 e no Windows XP:

 C: Documents and SettingsTodos os usuáriosStart MenuProgramsStartupWinUpdate.exe 

e no Windows 98:

 c: windowsStart MenuProgramsStartupWinUpdate.exe 

O WinUpdate.exe é um programa de Trojan do grupo TrojanDownloader, que baixa o componente principal do worm de um site remoto e o grava no diretório temporário sob o nome aptgetupd.exe.

Componente principal

Aptgetupd.exe é um arquivo PE.EXE, de aproximadamente 84KB (86528 bytes) em tamanho, compactado usando o PECompact.

Uma vez executado, o worm se copia sob o nome sysmon.exe para o subdiretório SYSMON no diretório de sistema do Windows e registra esse arquivo na chave de execução automática do registro do sistema:

 [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
  "sysmon" =% system% sysmonsysmon.exe 

O worm possui uma função de roubo que lhe permite roubar informações relacionadas a uma variedade de serviços financeiros:

 Acesso à Banca por Internet
Accueil Bred.fr> Espace Bred.fr
American Express UK - Finanças Pessoais
Banamex.com
banco
Banque
Banque en ligne
Barclaycard Merchant Services
Collegamento a Scrigno
Cadastre-se de escritório eletrônico comercial
Credit Lyonnais intera
CyberMUT
Logon E * TRADE
Acesso à conta e-gold
Página Inicial Banca Intesa
LloydsTSB online - Bem-vindo
Administração mercantil
Página d'accueil 
Área Segura do Usuário
SUNCORP METWAY
Tous les produits et services
Gerente de parceiros da VeriSign
Serviço de Confiança Pessoal VeriSign
Wells Fargo - Página inicial para pequenos negócios 

Ele também rouba dados transmitidos por HTTPS, relacionados a contas de vários serviços de e-mail, como Yahoo, etc.

Toda a informação roubada é salva nos arquivos ~ pass.log, ~ key.log e ~ post.log e é enviada por FTP para um servidor remoto: www.ustrading.info

O worm extrai vários arquivos .dll de si mesmo e os instala no diretório do sistema Windows:

 java32.dll
javaext.dll
icq_socket.dll (biblioteca usada para enviar mensagens via ICQ)
ICQ2003Decrypt.dll (biblioteca do ICQ) 

O worm obtém acesso à lista de contatos do ICQ, desconecta o cliente ICQ que foi iniciado, conecta-se ao servidor com o nome do usuário da máquina infectada e envia todos os contatos encontrados para o seu próprio site.

De outros

Além da exploração CHM, quando o link for aberto, será feita uma tentativa de baixar e executar um arquivo Java, que contém uma variedade de TrojanDownloaders (detectados como Trojan.Java.ClassLoader e TrojanDownloader.Java.OpenConnection ) que também tentam para baixar os componentes do worm para o computador da vítima.


Link para o original