Worm.Win32_Sumom-B

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Lorsqu'il est exécuté, Sumom-B se copie dans le répertoire %System% sous les noms de fichier "SVOSM.EXE" et "SYSUP.EXE", dans le répertoire %Windows% sous le nom de fichier "MSMPATCH.EXE" et à la racine du disque sous le nom de fichier "DSM.EXE".

Sumom-B créait les entrées suivantes dans la base de registre afin d'être exécuté à chaque démarrage d'une session utilisateur :

HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Run
%Valeur aléatoire% = "%Donnée aléatoire%"

HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Policies\Explorer\Run
%Valeur aléatoire% = "%Donnée aléatoire%"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\RunServices
%Valeur aléatoire% = "%Donnée aléatoire%"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\policies\Explorer\Run
%Valeur aléatoire% = "%Donnée aléatoire%"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run
%Valeur aléatoire% = "%Donnée aléatoire%"

%Valeur aléatoire% est sélectionné aléatoirement parmi la liste suivante :
AvSer
DsmSer
rollbk

%Donnée aléatoire% est sélectionné aléatoirement parmi la liste suivante :
%Windows%\MSMPATCH.EXE
%System%\SVOSM.EXE
%System%\SYSUP.EXE

Sumom-B se copie également sous les noms de fichier suivant à la racine du disque dans le but d'être envoyé via Microsoft Windows Messenger à l'ensemble de la liste de contacts de la machine infectée :

One Eye Granny pic!.pif
Me drunk at The Sea!.pif
Punk lives! lol.pif:
Me love you long time.pif
Me pic.pif
Hillbilly chick lol.pif
Dumb looking goth chick.pif
Hot blonde!.pif
Modelling her new bikini.pif
Crazy japanese man kicks crazy frog!.pif
Funny hitler parody!.pif
My birthday pic!.pif

Sumom-B se copie en tant que "AUTORUN.EXE" dans les répertoires suivants :

Documents and Settings\Local Settings\Application Data\
Microsoft\CDBurning\

Sumom-B créait un fichier "AUTORUN.INF" dans le même répertoire que "AUTORUN.EXE" afin qu'il soit exécuté à chaque démarrage.

Sumom-B se copie également dans les répertoires suivants :

My Shared Folder
Program Files\eMule\Incoming
Documents and Settings\{nom_utilisateur}\Shared

Afin de se répandre par les réseaux peer-to-peer, il se copie sous les noms de fichier suivants :

MSN Display picture stealer.exe
MSN Messenger 7.exe
MSN Avatar Creator.exe

Sumom-B modifie également les entrées suivantes de la base de registre :

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\
DisableSR =
"0"

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\
DisableConfig =
"0"

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\
Hidden =
"2"

Sumom-B tente de terminer un certain nombre de processus liés à des logiciels de sécurité (antivirus, firewall etc..) :

avengine.exe
apvxdwin.exe
atupdater.exe
aupdate.exe
autodown.exe
autotrace.exe
autoupdate.exe
avconsol.exe
avsynmgr.exe
avwupd32.exe
avxquar.exe
bawindo.exe
blackd.exe
ccapp.exe
ccevtmgr.exe
ccproxy.exe
ccpxysvc.exe
cfiaudit.exe
defwatch.exe
drwebupw.exe
escanh95.exe
escanhnt.exe
nisum.exe
firewall.exe
frameworkservice.exe
icssuppnt.exe
icsupp95.exe
luall.exe
lucoms~1.exe
mcagent.exe
mcshield.exe
mcupdate.exe
mcvsescn.exe
mcvsrte.exe
mcvsshld.exe
navapsvc.exe
navapw32.exe
nopdb.exe
nprotect.exe
nupgrade.exe
outpost.exe
pavfires.exe
pavproxy.exe
pavsrv50.exe
rtvscan.exe
rulaunch.exe
savscan.exe
shstat.exe
sndsrvc.exe
symlcsvc.exe
Update.exe
updaterui.exe
vshwin32.exe
vsstat.exe
vstskmgr.exe
cmd.exe
msconfig.exe
msdev.exe
ollydbg.exe
peid.exe
petools.exe
regedit.exe
reshacker.exe
taskmgr.exe
w32dasm.exe
winhex.exe
wscript.exe

Sumom-B dépose et exécute un fichier nommé "Crazy.Html" qui tente d'afficher deux images localisé sur un site Internet distant.

Sumom-B tente de modifier le fichier HOSTS pour empêcher l'accès à certains sites :

213.199.154.54 www.symantec.com
213.199.154.54 www.sophos.com
213.199.154.54 www.mcafee.com
213.199.154.54 www.viruslist.com
213.199.154.54 www.f-secure.com
213.199.154.54 www.avp.com
213.199.154.54 www.kaspersky.com
213.199.154.54 www.networkassociates.com
213.199.154.54 www.ca.com
213.199.154.54 www.my-etrust.com
213.199.154.54 www.nai.com
213.199.154.54 www.trendmicro.com
213.199.154.54 www.grisoft.com
213.199.154.54 securityresponse.symantec.com
213.199.154.54 symantec.com
213.199.154.54 sophos.com
213.199.154.54 mcafee.com
213.199.154.54 liveupdate.symantecliveupdate.com
213.199.154.54 viruslist.com
213.199.154.54 f-secure.com
213.199.154.54 kaspersky.com
213.199.154.54 kaspersky-labs.com
213.199.154.54 avp.com
213.199.154.54 networkassociates.com
213.199.154.54 ca.com
213.199.154.54 mast.mcafee.com
213.199.154.54 my-etrust.com
213.199.154.54 download.mcafee.com
213.199.154.54 dispatch.mcafee.com
213.199.154.54 secure.nai.com
213.199.154.54 nai.com
213.199.154.54 update.symantec.com
213.199.154.54 updates.symantec.com
213.199.154.54 us.mcafee.com
213.199.154.54 liveupdate.symantec.com
213.199.154.54 customer.symantec.com
213.199.154.54 rads.mcafee.com
213.199.154.54 trendmicro.com
213.199.154.54 grisoft.com
213.199.154.54 sandbox.norman.no
213.199.154.54 www.pandasoftware.com
213.199.154.54 uk.trendmicro-europe.com