Email-Worm.Win32.Fizzer

Détails techniques

Fizzer est un ver Internet qui se propage via les messages e-mail et les répertoires partagés KaZaa. Il contient également des fonctionnalités d'accès à distance "backdoor".

Installation

Lorsque le ver est lancé, il crée les fichiers suivants dans le répertoire Windows:

iservc.exe (copie du ver) initbak.dat (copie du ver) ProgOp.exe (composant du ver) iservc.dll (bibliothèque du keylogger utilisée par le ver) iservc.klg (contient des données de frappe enregistrées)

Le ver écrit également une clé de registre pour se lancer automatiquement au démarrage de Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun SystemInit = (Chemin du répertoire Windows) iservc.exe

Sous Windows NT / 2000 / XP, le ver est capable de créer un service système, mais cette fonctionnalité est désactivée par son auteur.

Il s'enregistre également en tant que gestionnaire par défaut pour les fichiers avec l'extension ".TXT" – ce qui entraîne l'exécution du ver lors de l'ouverture de ces fichiers.

Réplication: KaZaa

Le ver se copie dans le répertoire de téléchargement de KaZaa avec des noms de fichiers aléatoires.

Réplication: E-mail

Le ver utilise son propre moteur SMTP pour envoyer ses copies. Les adresses de messagerie de destination sont générées ou extraites de manière aléatoire à partir des carnets d'adresses Outlook et Windows.

Les messages infectés ont différents sujets, corps et noms de pièces jointes sélectionnés. Ils sont générés à partir de plusieurs grandes listes de chaînes. Par exemple:

Sujet: Re:; (Pièce jointe: desktop.exe Corps: vous ne devez montrer cela à personne … Sujet: Re: Je pense que vous pourriez trouver cela amusant … Pièce jointe: Logan6.exe Corps: Faites-moi savoir ce que vous pensez de cela … Sujet: Fwd: pourquoi? Pièce jointe: Taylor83.com Corps: Aujourd'hui est un bon jour pour mourir …

Backdoor routine: IRC

Le ver contient une liste de canaux IRC auxquels il tente de se connecter pour recevoir des commandes d'accès distant d'un attaquant.

Backdoor routine: Autre

Le ver démarre les serveurs HTTP et Telnet et les lie aux ports préconfigurés pour fournir un accès distant à l'ordinateur.

Autre

Le ver capture toutes les frappes et les écrit dans le fichier nommé "iservc.klg" dans le répertoire Windows. Il essaie également de télécharger et d'installer sa version mise à jour à partir d'une page utilisateur geocities. Le ver tente de terminer les processus contenant les chaînes suivantes dans leurs noms:

ANTIV AVP F-PROT NAV NMAIN SCAN TASKM VIRUS VSHW VSS

La plupart des options, telles que les noms de clé de registre, les noms de serveur IRC et SMTP, les numéros de port et les séquences d'action sont préconfigurées dans un fichier de données spécial crypté et stocké dans les ressources du fichier EXE du ver.