Worm.Win32.Slackor

Technical Details

Вирус-червь. Распространяется по локальным сетям, если в них есть ресурсы, открытые на доступ. Червь содержит ряд ошибок и имеет очень мало шансов на “выживание”.

Червь содержит несколько компонент:

cnn3.exe – главная компонента червя (Win32 EXE-файл размером около 350K)
abc.bat – BAT-файл (размер 1344 байт)
main.exe – троянская компонента (Win32 EXE-файл, размер 53280 байт)
psexec.exe – утилита удаленного запуска приложений (Win32 EXE-файл, размер 122880 байт)
slacke-worm.exe – компонента перебора сетевых адресов (Win32 EXE-файл, размер 25K или 28K в зависимости от версии червя)

Главная компонента червя является утилитой скрытного запуска самостоятельных EXE-файлов и определяется под именем “TrojanDropper.Win32.Yabinder”.

При запуске она создаёт на диске C: каталог “sp”, записывает в него компоненты червя и активизирует их:

C:spabc.bat
C:spmain.exe
C:sppsexec.exe
C:spslacke-worm.exe

Компонента “main.exe” является троянской программой удаленного администрирования и детектируется как “Backdoor.SdBot”.

Компонента “slacke-worm.exe” ищет ресурсы сети и при помощи оставшихся двух компонент пытается запустить свои копии на удаленных компьютерах:

abc.bat – пытается подключиться к удаленным ресурсам сети перебирая логины и пароли
psexec.exe – используется для запуска копии червя на удаленном компьютере