Searching
..

Click anywhere to stop

ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Net-Worm.Win32.Kolab

Data de detecção 04/13/2011
Classe Net-Worm
Plataforma Win32
Descrição

Toda a carga útil do worm é executada através de um código que é injetado no espaço de endereço do processo "EXPLORER.EXE". A carga útil não será executada se qualquer uma das seguintes condições for atendida:

  • A ramificação a seguir está ausente no registro do sistema:
     [HKCUControl PanelPowerCfgPowerPolicies] 
  • O nome da conta do usuário atual é:
     USERNAMEdo utilizadorNOME DO COMPUTADORUsuário atual
  • As seguintes bibliotecas são carregadas no espaço de endereço do worm:
     SbieDll.dlldbghelp.dllapi_log.dlldir_watch.dllpstorec.dll
  • O arquivo original do worm foi salvo no sistema como:
    c: file.exe 

    Depois de injetar o código malicioso através do processo "EXPLORER.EXE", as seguintes ações são executadas:

  • Para garantir que o processo seja exclusivo no sistema, um identificador exclusivo é criado, que é denominado:
  • Para fornecer acesso ao sistema infectado, o seguinte pipe nomeado é criado:
     .piperrreokdirjiurururr 
  • Uma conexão é estabelecida para o servidor do usuário mal-intencionado:
    di *** ind.cnant *** tition.comfre *** unge.com

    Seguindo um comando do usuário mal-intencionado, o worm pode executar as seguintes ações no computador infectado:

    • Organize um ataque DoS em servidores especificados.
    • Baixe arquivos de links enviados para ele. Os arquivos baixados são salvos no diretório de arquivos temporários do usuário atual "% Temp%" usando nomes aleatórios.
    • Baixe a versão atualizada do worm do servidor do usuário mal-intencionado.
    • Analise arquivos de configurações para estes navegadores:
      Mozilla FirefoxInternet ExplorerGoogle ChromeÓpera

      com a finalidade de roubar senhas salvas neles.

    • Roube e modifique os cookies do navegador. Para fazer isso, o worm usa o módulo "sqlite" embutido no navegador Mozilla Firefox.
    • As ações descritas nas seções "Instalação" e "Propagação". O worm faz trocas com o servidor do usuário mal-intencionado por meio de mensagens do tipo a seguir:
      Scan paradoVerificação em execuçãoDigitalização iniciadaDados de KB enviados: <number>Pacotes SYN enviados: <number>Corrida de inundaçãoinundação parada: <string>inundação: <string>Drive infectado: <string>Propagador USB em execuçãoCópia P2P para: <string>Propagador MSN em execuçãoDifusão do MSN iniciada, link: <string> Link do MSN enviado
    • Por comando do usuário malicioso, também é possível substituir o arquivo "hosts":
       % System% driversetchosts 

      No momento da escrita, o servidor do usuário mal-intencionado não estava respondendo.


Link para o original
Descubra as estatísticas das ameaças que se espalham em sua região