Win32.Blondy.A@mm
( N/A )| Propagación : | medio | |
| Daño : | medio | |
| Tamaño: | ~128 KB (unpacked) | |
| Detectado : | 2005 May 31 |
SINTOMAS:
- The registry entry HKCR\\exefile\\shell\\open\\command having a value other than \"%1\" %*;- A subfolder \"Profiles\" in the Windows folder.
DESCRIPCIÓN TÉCNICA:
This is an Internet worm written in Visual C++ that spreads via email, network shares/drives, Kazaa file sharing and IRC; it also acts as an IRC backdoor server.When run for the first time, the virus will display a fake error message:
The virus will make copies of itself in the Windows folder, the Windows System folder and a random subfolder of the Program Files folder; the copies will be given random names, by including names of existing files (or the respective Program Files subfolder) and the following substrings:
run, dx, cmd, 16, 32, 98, lib, vxd, sys, dll, cfg, def The following registry entries will be created to run the virus at start-up:
- HKLM\\Software\\Microsoft\\CurrentVersion\\Run\\LoadSystemProfile =
- HKLM\\Software\\Microsoft\\CurrentVersion\\Run\\
The registry entry HKCR\\exefile\\shell\\open\\command will be modified in order to launch the virus every time an executable file is launched by the user; after installing itself this way, the virus will not allow the execution of programs containing the following substrings in the name:
- panda
- avp
- kaspers
- f-prot
- f-secure
- antivir
- conseal
- worm + guard
- zone + labs
- mc + afee
- pc + cillin
- black + ice
- norton + virus
A line will be added in the [windows] section of the win.ini file, in order to run the Windows System copy of the worm at start-up.
The worm continuously checks if these \"installation\" procedures have been disabled, and reenables them if so.
Two \"configuration files\" will be created and maintained by the worm in the Windows folder; they both have random names generated in a similar way as the ones above. One of these files for example keeps a list of email addresses to which the worm has sent or is planning to send email messages.
The virus will search for windows and processes that include the following substrings in the name:
- black
- panda
- shield
- guard
- scan
- mcafee
- nai_vs_stat
- iomon
- navap
- avp
- alarm
- f-prot
- secure
- labs
- antivir
and attempts to close them; if a matching process has been found, after terminating its execution the virus will attempt to erase its file.
A thread of the virus will periodically scan the fixed and network-mapped drives. While scanning the fixed drives, the virus will modify the mIRC script files, collect email addresses (from wab files), and attempt to delete vbs (Visual Basic script) files in the Windows and Windows System folders. It will copy itself and create an \"autorun.inf\" file on mapped drives, in order for users to get infected when accessing that drive with Windows Explorer.
The worm also copies itself on network shared folders.
It tries to hide windows named \"Outlook Express\", \"Choose Profile\", \"Internet Mail\", but appears to fail in doing so.
Email messages are sent to addresses collected from wab (Windows Address Book) files and addresses gathered by using MAPI functions. The sender\'s address may be forged, the subject and body may vary, as well as the name of the attached file. The virus seems to attempt to use the infamous IFRAME exploit for some email messages it sends (see http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-020.asp for more informations and a fix for this vulnerability) in order for the email attachement to be automatically run when the message is previewed ( on systems using Outlook/Outlook Express and unpatched versions of Internet Explorer 5.xx).
In some messages, the address of the sender may be formed by joining the following components:
- dreamy / candy_f / bryan16 / jerry / baby_17 / neo / trish1 / linda17 / monica / nicole / angel_f / blue16 / tweety / alice / jane17 / badboy / rap_girl / CrazyGirl / steve / happy / amanda / crazy;
- @hotmail.com / @yahoo.com / @mail.com / @yahoo.co.uk / @usa.net.
The subject line may be built up by adding the following words:
- HeY, ZzZz, Bla Bla, HoWie, Happy, Hi again, Wow, Hi, Hello, Hey Ya, Boom, Hi There
or the Bulgarian versions:
- Zdrasti, Zdr Otnovo, Ohoo, Ei dupe, Pisamce, TinKi WinKy, ZzZz, Bla Bla, Hey, Privet, Boom
and various smiley sequences.
The worm also includes a list of fixed combinations of senders/subjects/message bodies/attachment names (where not specified, these fields may vary as described above):
From: support@games.yahoo.com
Subject: Yahoo! Games
Body:
Yahoo! Team is proud to present our new surprise
for clients of Yahoo! and Yahoo! Mail.
We plan to send you the best Yahoo! Games weekly.
This new service is free and it\'s a gift for the 5th
anniversary of Yahoo!. We hope that you would like it.
The whole Yahoo! Team want to express our gratitude to
you, the people who help us to improve Yahoo! so much,
that it became the most popular worldwide portal.
Thank You!
We do our best to serve you.
-------------
Yahoo! Team.
www.Yahoo.com
Attachment: Yahoo!Chess.exe
From: support@kefche.com
Subject: kefche.com
Body:
Ekiput na Kefche.com ima radostta da pozdravi vsichki
fenove na Kefcheto s 1-ta godishnina ot puskaneto na site-a.
Nie se prevurnahme v nai-dobriq i poseshtavan bg site
za zabavleniq i igri. Ot samoto si nachalo Kefche.com ima
za cel da vi nosi samo i edinstveno smqh i zabava,
nadqvame se che sme postignali celite si :))
Po sluchai godishninata, ekiput ni poe iniciativata da
izprashta vsqka sedmica nai-dobrite flash-cheta i
igrichki na vsichki user-i poseshtavashti Kefche-to.
Nadqvame se da vi haresa i tova da bude samo nachaloto
na edno novo zabavlenie :))
-----------------
Kefche.com Team.
Subject: Blondinkii
Body:
Hey :)) Kak q karash? Pomnish li me oshte :))
Nadqvam se che da. Baq vreme ne sme sa chuvali..
Neshto novo ima li? Namerih edna mnoo qka programka
i neznam zashto, no mi napomni za teb :))
Kakvo pravi blondinka kato rodi bliznaci? - Chudi se koi e vtoriq tatko :)
Kakva e razlikata mejdu 10 ovce i 3 blondinki? Otgovor: 7
Kak mojesh da razsmeesh blondinka v petak? - Kato i razkajesh vic vav vtornik :)
Kefqt li ta vicovete? Shegichka de :) Razkazva vicove na 5 minuti :))
Posmqh se za baq vreme napred :pPpP Haide bye za sega, i da pishesh :))
Attachment: blondes.exe
Subject: Blondes Forever
Body:
Hey, whatz up :)) Where are you? Don\'t you chat any more?
I haven\'t seen you so long. Read this :))
- What do blondes wear behind their ears to attract men? Their ankles!!
- Why did god invent the female orgasm? So blondes know when to stop screwing!!
- What is a blond with hair black colored? Artificial intelligence!
Blondes forever!! :) Time off, i must go now, but i\'ll be very
happy if you write to me soon :) Bye bye :))
Attachment: blondes.exe
From: greetings@reply.yahoo.com
Subject: %s sent you a Yahoo! Greeting (%s = email name of infected user)
Body:
Surprise! You\'ve just received a Yahoo! Greeting
from \"%s\" (%s)!
This is an interactive greeting card
and requires Flash Media Player.
Enjoy!
The Yahoo! Greetings Team.
-----------------
Yahoo! Greetings is a free service. If you\'d like to send someone a
Yahoo! Greeting, you can do so at http://greetings.yahoo.com
Attachment: Yahoo!Tomcats.exe
From: bg@microsoft.com
Subject: Microsoft Bulgaria
Body:
Blagodarenie na dulgogodishnite tradicii na Microsoft v Bulgaria
i dobrata i suvestna rabota na vsichki neini podchineni, mojem
nai-nakraq da pozdravim bulgarskiq potrebitel s prevod na
Internet Explorer na bulgarski.
Tova e edno uspeshno produljenie na iniciativata za prevejdane na
Ms Office 2000 \" na rodniq ni ezik. Update-a e bezplaten i e
podaruk po sluchai 10 godishninata na Microsoft v Bulgaria.
Nadqvame se bulgarskite potrebiteli da ostanat dovolni, koeto shte
bude nai-golemiq podaruk za nas.
---------------------
Microsoft, Bulgaria.
Attachment: IE_0274_bg.exe
From: alert@computel.bg
Subject: Vajno
Body:
Panda Antivirus preduprejdava za nalichieto na nov virus
v internet, narechen W32.Roro@mm. Razprostranqva se predimno
po IRC i chrez zarazeni internet stranici. Sled zarazqvaneto
toi iztriva mp3-ki, filmi i dokumenti.
Poradi golemiq broi zarazeni bulgari prez poslednite
nqkolko dena, Panda Antivirus zapochna razprostranenieto na
patch, koito opravq bug v Internet Explorer 5.5 i minali
versii, pozvolqvasht na stranici sas zlovredno sudurjanie
da izpulnqvat komandi vurhu posetitelite.
Druga nasha preporuka e ako ste veche zarazeni da ne
opitvate da mahate virusa ruchno, a samo s antivirusna
programa, poneje pri neuspeshen opit za premahvane
W32.Roro iztriva razlichni vidove failove na operacionnata
sistema.
------------------
Panda Antivirus, Bulgaria.
www.Computel.bg
Attachment: IE50_032.exe
From: support@winamp.com
Subject: WinAmp Team
Body:
Hello, WinAmp User. WinAmp Team is proud to present our new
surprise for users of WinAmp. WinAmp 3.0 Final has been just
released and we believe that it will be the player you\'ve ever
dreamed about.
We plan to start a new tradition, sending the best skin or
add-on to our users every week. This new service is free and
we hope that you would like it.
Everyone can offer us suggestions.
We do our best to serve you.
----------------
WinAmp Team.
www.WinAmp.com
Attachment: Iguana1.0_skin.exe
From: support@microsoft.com
Subject: Virus Alert
Body:
McAfee Antivirus warns about a new virus, called W32.Roro@mm.
It is a high risk worm and it\'s using IRC and internet pages
to infect computers. The virus deletes movies, music and
system files.
Due to the significant increase of infected users,
Microsoft Corporation, with the collaboration of
McAfee Antivirus, supports clients of Microsoft Windows
with a patch, which fixes a bug in Internet Explorer 5.5
or minor versions. This bug allows internet pages
to grant access to local resources of visitors.
-----------------
McAfee Antivirus
www.McAfee.com
Attachment: IE_0276_Setup.exe
From: support@yahoo.com
Subject: Yahoo! Toolbar
Body:
Yahoo! Team is proud to present our new surprise
for clients of Yahoo! and Yahoo! Mail.
Yahoo! Toolbar is an innovative technology, which
helps you to access Yahoo! Services easier than ever.
It is free and is a gift for the 5th anniversary of Yahoo!.
We hope that you would like it.
The whole Yahoo! Team want to express our gratitude to you,
the people who help us to improve Yahoo! so much, that it
became the most popular worldwide portal.
Thank You!
We do our best to serve you.
-------------
Yahoo! Team.
www.Yahoo.com
Attachment: Yahoo!Toolbar.exe
Body:
Hello :)) How are you? Do you remember me? I hope so :)) I\'ve just
watched Tomcats, it\'s marvellous :pP. The summer vacation is over and
this is quite unpleasent :(( I have a lot to tell you about, later..
You can\'t guess what I\'ve found.. A working Credit Card generator :)))
I purchased a bride from Russia yesterday :) LoL.. I gave a fake address
of course :))) Don\'t go too far and watch out :)) I\'ll be very happy
if you write to me soon :))) Bye..
Attachment: [TNT]Gen.exe
Body:
Hi again :)) Where are you? Don\'t you chat any more? I haven\'t
seen you so long.. Well, I\'ve got a lot to tell you about. The
Summer vacation was too good to be true. Beach, disco\'s, friends..
Unfortunately, it\'s Winter now and the temperatures here are very
low. I was ill almost 2 weeks. Quite unpleasant :(( Let\'s talk
about you :) Are you oK? Are you in love :)) I sent you a surprise :))
There are cool thoughts, especially about love. It\'s nice. I\'m a
little bit bored of these stupid computers, but I\'m waiting for
the reply :)) Bye!
(or similar message body)
One of the following PS lines may be added to the message body:
P.S. Hvarli edno oko na %s :))
P.S. Bqgai na %s mnoo zdravo flash4e ima :pP
P.S. Be happy, don\'t worry ~pPp. Check this - %s Cool :))
P.S. Have you visited %s :) Co0l :))
(%s = variable name)
In order to spread to users of the Kazaa file sharing network, the worm will create a subfolder \"Profiles\" in the Windows folder and copy itself in there with various names, built up by joining substrings of various attractive names. Actually, these \"copies\" embed the body of the virus several times, and their sizes vary accordingly. The \"Profiles\" subfolder will be shared to other Kazaa users.
When the worm locates mIRC, it will modify one of the files:
- remotes.ini
- controls.ini
- versions.ini
- notes.ini
- url.ini
- version.ini
and add a line in mirc.ini to include that file; the generated script will act as a backdoor server (allowing various remote control commands to be executed on the infected computer).
Under certain conditions, the worm might erase the user\'s files, including the ones with the following extensions: swf, jpg, mp3, mpg, asf, mov, mpeg, avi, bmp, zip, html, htm, wav, ace, rar, doc, txt, pdf, dos, com, bat, sys, ini, dos.
INSTRUCCIONES DE LIMPIEZA:
Manual Removal:Manual removal might be very difficult and is not recommended. A professional antivirus should be used instead.
Automatic Removal:
Let BitDefender delete infected files
ANALIZADO POR:
Bogdan DraguBitDefender Virus Researcher
Serie de e-guías Bitdefender
La serie de e-Guías Bitdefender es una iniciativa de aprendizaje destinada a proporcionar al lector de Bitdefender y a la comunidad de usuarios información valiosa sobre las e-amenazas y los problemas de la seguridad en el campo de la tecnología de la información y las comunicaciones, a la vez que ofrecen consejos prácticos y soluciones factibles para la defensa online que necesitan. Los analistas de seguridad de Bitdefender® comparten su conocimiento en la prevención de malware, identificación y eliminación, imprimiendo un énfasis especial en la privacidad online y las distintas tecnologías, contramedidas y diversos métodos de prevención del cibercrimen que existen.
La serie de e-guías está diseñada para una extensa audiencia de pequeñas empresas y usuarios individuales preocupados por la seguridad e integridad de sus redes y sistemas, y se tratan temas que van desde la protección online de la familia y los niños, hasta las redes sociales seguras y la prevención de las violaciones de seguridad de los datos para asegurar los entornos empresariales. Estas e-guías también se ocupan de cuestiones relacionadas con la actividad diaria de los directores de seguridad de los sistemas IT&C, administradores de red y sistemas, desarrolladores de tecnología de la seguridad, analistas e investigadores.
Guía para publicar un blog con seguridad
Consejos y trucos sobre cómo mantener su blog y su identidad a salvo
Publicar en blogs es una de las formas más populares de expresarse por escrito en la Web, con más de 150 millones de blogs indexados en todo el mundo. Mientras que los lectores normales buscan información y artículos, los ciberdelincuentes muestran un interés bien distinto en ellos. Encontrar información privada y conseguir espacio de almacenamiento barato para sus campañas de malware son sólo dos de las múltiples motivaciones por las que otros pueden interesarse en su blog.
Este material aborda las directrices básicas para gestionar blogs de forma segura y se centra especialmente en los blogs de particulares que son hospedados por ellos mismos o proporcionados como servicio por los principales proveedores de blogs.
Guía para asegurar redes inalámbricas (wireless)
Consejos y trucos para blindar su red doméstica frente a los intrusos
Este documento está dirigido a los usuarios de equipos que han implementado o planean implementar una red inalámbrica doméstica. Ahora que la comunicación inalámbrica se ha convertido en una parte importante de nuestras vidas, los ciberdelincuentes intentar explotar cualquier brecha de seguridad en la configuración inalámbrica para interceptar el tráfico o usar la conexión a Internet con fines ilegales.
La siguiente guía le enseñará las mejores prácticas a la hora de usar redes inalámbricas no seguras, además de cómo configurar correctamente su router doméstico o punto de acceso para evitar que otros hagan un mal uso de su red.
Guía online para proteger a sus hijos
Cómo asegurar y defender la experiencia digital de sus niños
Este documento está dirigido a las familias, padres y profesores para ayudar a asegurar las actividades digitales de los niños y adolescentes. En una época en la que la producción en masa y el acceso a los ordenadores han convertido a estos dispositivos en un electrodoméstico más de todos los hogares, los niños se familiarizan con los PCs e Internet desde muy temprana edad. A pesar de sus obvios beneficios relacionados con la comunicación, la Web también puede ser un lugar peligroso para los niños, con e-amenazas orientadas específicamente a su grupo de edad y a los ordenadores del colegio o del hogar.
Esta e-guía cubre los principales riesgos y peligros online para los niños, como el ciberacoso, el acceso a contenido inadecuado, la adicción online y otras acciones online perjudiciales, a la vez que se centra en asuntos tales como el malware, phishing, robo de identidades y spam, a los cuales los adolescentes, al igual que otros usuarios de Internet, están expuestos a diario. La sección de Consejos de seguridad ayuda a los padres y a los profesores a comprender mejor y tratar con estos problemas en relación con los niños.
Guía de seguridad online para los navegantes más mayores
Cómo proteger las ideas y activos de valor contra el hacking
Este documento está dirigido a las familias y personas mayores con el objetivo de ayudarles a navegar de forma segura por la Web y disfrutar de sus actividades online.
A primera vista, pudiera parecer que las personas mayores están tan expuestas al cibercrimen como otros usuarios de Internet sin experiencia, independientemente de su edad. Sin embargo, como muestra esta e-guía a lo largo de diversos casos de estudio, hay varios riesgos y peligros que apuntan directamente a los navegantes más mayores, como son el cobro de pensiones, métodos falsos de pago de impuestos o estafas relacionadas con los ingresos. Junto con los casos de estudio se adjuntan consejos, ejemplos y trucos que ofrecen a sus lectores directrices útiles en las que basarse en su rutina diaria.
Guía de Prevención de Violaciones de los Datos
Cómo proteger las ideas y activos de valor contra el hacking
La e-guía ha sido diseñada para cubrir los diversos puntos de perjuicio para la seguridad de los datos de las empresas, desde cuestiones tales como la integridad física de las redes, hasta los complicados mecanismos del cibercrimen orientado a las empresas (por ejemplo, troyanos bancarios, phishing, etc.). Este material está también concebido para relacionar, aunque no con el detalle de una descripción completamente técnica, las funciones de las diversas soluciones Bitdefender orientadas a las empresas y particulares con las situaciones en las que pueden resultar de ayuda para los administradores de TI.
Consultar este documento resultará muy útil en el proceso de decidir qué es lo mejor para la seguridad en los entornos de red de pequeñas y medianas empresas, y también para crear unos fundamentos sólidos para la investigación comparativa en profundidad sobre este asunto.
Libro Blanco
- Documento técnico de Facebook
- Análisis Antivirus de Bitdefender
- B-HAVE, El Camino hacia el Éxito (.pdf)
- ¿El medio o el mensaje? Tratar con el spam de imágenes, diciembre de 2006,Virus Bulletin
- Combatiendo el Spam por Imágenes
- Tecnología Antispam NeuNet de Bitdefender
- Proactive security I body armor against business attacks
- Documento técnico - Nuevas Amenazas para la Seguridad Corporativa
- Asegurar lo Incierto - La Tecnología Proactiva B-HAVE de Bitdefender frente a la Versatilidad de las Amenazas
- Asegurar el E-Mail - La Primera Línea de Defensa Estratégica
- Nomenclatura de los virus. El dilema de "¿quién es quién?"
- Facebook – Otra brecha en el muro
- Bitdefender Active Virus Control: Protección proactiva Frente a Las Nuevas Amenazas
Informe del panorama de e-amenazas Bitdefender
El propósito de este informe es proporcionar una investigación exhaustiva del escenario de amenazas. Los expertos de seguridad de Bitdefender® analizan y examinan a fondo las amenazas de cada semestre, centrándose en las vulnerabilidades y exploits, distintos tipos de malware, además de en contramedidas, prevención de ciberdelincuencia y cumplimiento de regulaciones. El escenario de e-amenazas se concentra principalmente en las últimas tendencias, pero también contiene hechos y datos relativos a los periodos analizados anteriormente, además de diversas predicciones sobre los semestres venideros. Este documento está pensado principalmente para los Directores de Seguridad de los Sistemas TIC, Administradores de Sistema y Red, Desarrolladores de Tecnología de Seguridad, Analistas e Investigadores, pero también contempla cuestiones relativas a un público más amplio, como pequeñas organizaciones o usuarios particulares preocupados por la seguridad e integridad de sus redes y sistemas.
Informe Panorama de E-Amenazas H2 2011 - Resumen
Hace veinte años nació un medio de comunicación electrónico revolucionario. Se hizo tan popular entre el público de todas las edades y profesiones que todavía hoy es el mecanismo de comunicación de datos más utilizado: el SMS – el servicio de mensajes cortos.
Hoy en día, los teléfonos móviles son más que voluminosos artefactos que pueden transmitir voz y mensajes de un punto a otro: son dispositivos obligados en un mundo 2.0 – potentes y complejos, ejecutando sus propios sistemas operativos y, consecuentemente, enfrentándose a la posibilidad de sufrir problemas de ciberdelincuencia. Mientras los primeros seis meses de 2011 estuvieron marcados por vulnerabilidades de software y violaciones de datos de alto nivel, la segunda mitad centró su atención no sólo en una nueva familia de malware, sino en un escándalo de espionaje a usuarios no protegidos que aparentemente involucró a una serie de operadores de telefonía móvil y al controvertido fabricante de software CarrierIQ.
El panorama del malware estuvo dominado principalmente por Trojan.Autorun.Inf y Win32.Worm.Downadup, dos malignos contendientes que tienen sus orígenes en la era de Windows XP, pero que se las ingeniaron para mantener su sitio incluso aunque las actualizaciones de los sistemas operativos o la aplicación de parches hubieran resuelto los problemas de seguridad explotados por estos elementos de malware. Los principales contendientes en la segunda mitad de 2011 son Trojan.AutorunInf, Win32.Worm.Downadup, y Exploit.CplLnk.
Las violaciones de datos atribuidas a la banda Anonymous y sus grupos de hacking satélites continuaron durante la segunda mitad de 2011. Entre los objetivos más importantes se encontraban Mitsubishi Heavy Industries, Adidas, RIM, Tiroler Gebietskrankenkasse, Nexon e incluso Naciones Unidas. Las empresas de certificación de Confianza Empresarial también estuvieron en el ojo del huracán cuando el incidente de DigiNotar en la primera mitad de 2011 expuso a los incautos usuarios a un ataque de phishing masivo que se utilizó para robar certificados digitales para instituciones de alto nivel y agencias gubernamentales como Google, Tor, la CIA y el Servicio Secreto Israelí, el Mossad.
Las redes sociales han jugado también un papel determinante en la diseminación de malware y distribución de noticias falsas sobre muertes de personalidades relevantes como la de Muammar Gaddafi o Steve Jobs. De particular relevancia fueron las campañas malintencionadas creadas alrededor de la supuesta película de la ejecución de Gaddafi o del obsequio conmemorativo en honor del difundo Steve Jobs.
Descargar ahora la completa Informe Panorama de E-Amenazas H2 2011 (pdf)
Descargar ahora el resumen ejecutivo Informe Panorama E-Amenazas H2 2011 - Resumen Ejecutivo (pdf)
Archivo Comprimido
2011
Descargar ahora Informe Panorama E-Amenazas H1 2011 - Resumen Ejecutivo (pdf)
2010
Descargar ahora Informe Panorama E-Amenazas H2 2010 - Resumen Ejecutivo (pdf)
Descargar ahora Informe Panorama de E-Amenazas H2 2010 (pdf)
Descargar ahora Informe Panorama E-Amenazas H1 2010 - Resumen Ejecutivo (pdf)
Descargar ahora Informe Panorama de E-Amenazas H1 2010 (pdf)
2009
Descargar ahora Resumen Ejecutivo de Revisión de Malware y Spam H1 2009 (pdf)
Descargar ahora Informe Panorama de E-Amenazas H1 2009 (pdf)
Descargar ahora Revisión de Malware y Spam H2 2009 (pdf)
Descargar ahora Informe Panorama E-Amenazas H2 2009 - Resumen Ejecutivo (pdf)
2008
Descargar ahora Informe Panorama de E-Amenazas H1 2008 (pdf)
Descargar ahora Informe Panorama de E-Amenazas H2 2008 (pdf)
¿A quién preguntar? Debajo tiene una lista de todos nuestros representantes, que estarán encantados de responder a cualquier pregunta que les quiera formular.
Director PR Mundial