Phát hành lần thứ 2 ngày 09/08/2007 cập nhật
Hupigon, LockedC.PE, OnlineGamesYDll, ZeroOnlineCDll, ZeroOnlineSoulDll...
Malware cập nhật mới nhất:
* Tên malware: W32.Hupigon.Worm
* Thuộc họ: W32.Hupigon.Worm
* Loại: Worm
* Ngày phát hiện mẫu: 09/08/2007
* Kích thước: 275 Kb
* Mức độ phá hoại: Trung bình
Nguy cơ:
* Lấy cắp thông tin cá nhân
* Làm giảm mức độ an ninh của hệ thống.
* Cài thêm virus/spyware khác vào hệ thống
* Tạo mạng botnet
Hiện tượng:
* Tắt các chương trình hệ thống của Windows
* Tự động download các trojan về máy
* Tạo file có biểu tượng rỗng, tự xóa virus sau khi chạy
Cách thức lây nhiễm:
* Phát tán qua USB, các ổ đĩa chia sẻ
* Phát tán qua các virus khác download về, qua các trang web "đen", các trang hack, crack...
Cách phòng tránh:
* Không nên mở file đính kèm không rõ nguồn gốc, đặc biệt là các file có đuôi .exe .com .pif và .bat.
* Không nên mở các ổ USB mới chưa được quét virus bằng cách nháy kép vào ổ đĩa.
* Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại
Mô tả kỹ thuật:
* Tạo ra files :
o %systemroot%\system32\Deleteme.bat ( tự xóa worm sau khi chạy)
o %systemroot%\system32\lsass.exe
* Tắt các services của các chương trình Antivirus:
o Zone Alarm
o Kaspersky
* Ghi giá trị:
o "ImagePath" = "%systemroot%\lsass.exe -netsvcs" vào key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kkdc
o "ImagePath" = "%systemroot%\lsass.exe -netsvcs" vào key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet001\Services\kkdc
o "Debugger" = "%systemroot%\lsass.exe" vào key HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe
o "Debugger" = "%systemroot%\lsass.exe" vào keyHKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
o "Debugger" = "%systemroot%\lsass.exe" vào keyHKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
o "Debugger" = "%systemroot%\lsass.exe" vào keyHKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe
* Tạo mạng botnet, nhận lệnh và gửi thông tin từ máy đến địa chỉ
http://ekai[removed].3322.org
* Lây nhiễm qua các ổ USB, ổ mạng:
o Copy bản thân vào các ổ với tên "autorun.pif", tạo file autorun.inf để chạy mỗi khi mở ổ đó ra
* Tắt các process với tên :
o EGHOST.EXE
o KavPFW.EXE
o KPFW32.EXE
o RfwMain.EXE
o RRfwMain.EXE
o PFW.exe
o ewido.exe
o SysSafe.exe
o FireWall.exe
o kpf4gui.exe
o jpf.exe
o ssgui.exe
o outpost.exe
o FYFireWall.exe
o runiep.exe
o Ras.exe
o kav.exe
o avp.exe
o avpcc.exe
o mmc.exe
