Worm.Win32_Bropia-N

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: 30720 Octet(s)

Détails techniques:

Méthode d'infection

Lorsqu'il est exécuté, Bropia-N crée deux fichiers. Le premier fichier est une copie du ver à la racine du disque (généralement C:\) dont le nom est choisi aléatoirement parmi la liste suivante :

Beautiful Ass.pif
John Kerry as Super Chicken.scr
Kool.pif
Me & you pic!.pif
Me Pissed!.pif
sexy.pif
She Could Fit her Ass in a Teacup.pif
she's fuckin fit.pif
titanic2.jpg.pif

Le deuxième fichier est une autre copie du ver dans le dossier '%System%' sous le nom ISASS.EXE.

Bropia-N modifie la base de registre système afin d'être exécuté à chaque démarrage d'une session utilisateur :

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
%Random% = "%System%\Isass.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunServices
%Random% = "%System%\Isass.exe"

La variable %Random% étant sélectionnée aléatoirement parmi la liste suivante :

Anti
Isass
NvMsnW

Note: '%System%' est une variable de localisation. Bropia-N détermine le chemin du répertoire du système en effectuant une requête au système d'exploitation. Le répertoire System par défaut pour Windows 2000 et NT est C:\Winnt\System32; pour 95,98 et ME est C:\Windows\System; et pour XP est C:\Windows\System32.

Le ver dépose le fichier l0l_53xy_l0l.html dans le répertoire où il est exécuté. Dès l'exécution du ver, ce fichier HTML, tente de se connecter au site suivant, pour afficher une image :

http://www.frebs.com/lol_fuck_you_lol/l0l_53xy_l0l.jpg

(Cet url n'est plus accessible à l'heure de la publication du virus).

Méthode de distribution

Diffusion par MSN Messenger
Le ver tente de s'envoyer à l'ensemble des contacts MSN Messenger connectés avec les noms aléatoires choisis parmi la liste ci-dessus.

Toutefois, le logiciel MSN Messenger doit être exécuté sur la machine infectée pour que le ver puisse se répandre.

Payload

Arrêt de processus

Le ver est également capable de terminer certains processus pour s'assurer d'être exécuté correctement sur la machine infectée, en voici la liste :

Editeur du Registre: regedit.exe
Gestionnaire des tâches : taskmgr.exe

Anti-debugger

Dès son exécution, le ver vérifie l'existence d'un debugger sur la machine infectée. Si ce dernier existe, le ver termine son processus.

Liste des debugger susceptible d'être arrêté :

NT-ice
Softice

Lorsque le debugger est arrêté il affiche le message : "fuck-off" (Voir Capture d'écran)

Capture(s) d'écran: