Detection added	02 Jan 2009
Description added	14 Jan 2009

• Détails Techniques
• Action destructrice
• Conseils pour la suppression

Ce ver est un fichier PE DLL qui se propage via des réseaux locaux et des supports amovibles. La taille des composants de ce ver varie entre 155ko et 165ko. Il est compressé par UPX.

Installation

Le ver copie son fichier exécutable dans le répertoire système de Windows de la façon suivante :

%System%\<rnd>.dll <rnd> est une chaine de caractères aléatoires

Le ver crée un service qui assure son exécution à chaque fois que Windows démarre sur le PC victime. La clé de base de registre suivante est créée :

Le ver modifie également la valeur de la base de registre suivante :

Propagation via le réseau

Lorsqu'il infecte le PC, le ver lance un serveur HTTP ver un port TCP aléatoire dans le but de charger le fichier exécutable du ver sur d'autres PCs.

Le ver obtient les adresses IP des PCs appartenant au même réseau que le PC victime et les attaque via une vulnérabilité de buffer overrun dans le service du serveur. (Pour plus d'informations sur cette vulnérabilité, veuillez consulter le site de Microsoft www.microsoft.com).

Le ver envoie une requête RPC spécifique vers des PCs distants ce qui provoque un buffer overrun lorsque la fonction wcscpy_s est appelée dans netapi32.dll. Un code est lancé, il télécharge le fichier du ver et l'installe sur le nouveau PC victime.

Afin d'exploiter la vulnérabilité décrite ci-dessus, le ver tente une connexion vers le compte administrateur de la machine distante. Le ver déploie la force brute à l'aide des mots de passe suivants pour accéder au compte:

Propagation via les supports amovibles

Le ver copie son fichier exécutable comme suit :

<X>:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\<rnd>.vmx rnd est une chaîne de caractères aléatoire en minuscule; X désigne le disque.

Le ver place également les fichiers suivants dans la racine de chaque disque :

Ainsi le fichier exécutable du ver est exécuté à chaque fois que l'utilisateur ouvre le disque infecté à l'aide de Windows Explorer.

Lors de l'exécution, le ver injecte son code dans le champ d'adresse d'un des processus système “svchost.exe”. Ce code est responsable de la charge malicieuse du ver :

• désactive le système de restauration
• bloque les adresses qui contiennent les chaînes de caractères suivants :
  indowsupdate
  wilderssecurity
  threatexpert
  castlecops
  spamhaus
  cpsecure
  arcabit
  emsisoft
  sunbelt
  securecomputing
  rising
  prevx
  pctools
  norman
  k7computing
  ikarus
  hauri
  hacksoft
  gdata
  fortinet
  ewido
  clamav
  comodo
  quickheal
  avira
  avast
  esafe
  ahnlab
  centralcommand
  drweb
  grisoft
  eset
  nod32
  f-prot
  jotti
  kaspersky
  f-secure
  computerassociates
  networkassociates
  etrust
  panda
  sophos
  trendmicro
  mcafee
  norton
  symantec
  microsoft
  defender
  rootkit
  malware
  spyware
  virus

Le ver télécharge également un fichier à partir du lien ci-dessous :

Ce fichier est sauvegardé dans le répertoire système de Windows puis exécuté. Le lien n'est pas actif à l'heure où nous écrivons ces lignes.

Le ver peut également télécharger des fichiers depuis des liens comme ceux indiqués ci-dessous :

rnd2 est un chiffre aléatoire. URL est un lien formé par un algorithme spécial qui utilise la date en cours. Le ver obtient la date en cours à partir de l'un des sites ci-dessous :

Les fichiers téléchargés par le ver sont sauvegardés dans le répertoire système de Windows sous leur nom d'origine.

Si votre ordinateur n’était pas protégé par un antivirus et est infecté par ce code malicieux, vous pouvez soit utiliser un outil spécial de suppression que vous trouverez ici support.kaspersky.com, ou bien suivre les instructions ci-dessous :

1. Supprimez la clé de la base de registre suivante :
   [HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]
2. Supprimez la ligne "%System%\<rnd>.dll" du paramètre suivant de la base de registre :
   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost] "netsvcs"
3. Redémarrez votre ordinateur.
4. Supprimez le fichier d'origine du ver (son emplacement sur l’ordinateur infecté dépend de la façon dont il s’est infiltré sur le PC).
5. Supprimez le fichier suivant :

   %System%\<rnd>.dll <rnd> est une chaine de caractères aléatoires

6. Supprimez les fichiers suivants de tous les supports amovibles:

   <X>:\autorun.inf <X>:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\<rnd&g t;.vmx rnd est une chaîne de caractères aléatoire en minuscule; X désigne le disque.

7. Téléchargez et installez les mises à jour du système d'exploitation à partir du lien suivant :
   http://www.microsoft.com/france/technet/security/bulletin/MS08-067.mspx
8. Effectuez une analyse complète de l’ordinateur à l’aide de Kaspersky Anti-Virus avec les bases antivirus mises à jour. Pour télécharger une version d’essai, cliquez ici .