virus - vpc32.exe

[Arks]

per DrMal-
Essendo reduce da una campagna per il buon trattamento dei postatori in difficolta',mi sento di assicurarti che antares11 ti ha solo detto cose tecniche -giuste- assolutamente senza ombra di 'sgorbutismo',credimi.

[Dr Mal]

[OT]Ciao Arks,
a me nn piace polemizzare, credo solo ke ci sono diversi modi x aiutare qualc1.
Forse ho dato troppo peso al tono della risposta ma è stata una sensazione.
I 3d ke mi sono stati indicati li ho controllati, ma sai, nn sono una cima in inglese ... avrei solo avuto bisogno di avere dei kiarimenti su ki ha avuto lo stesso mio prob, tutto qua.
Di solito quando capita ke aiuto qualc1, evidenzio, se c sono, i 3d sulla questione, ma evito di rivolgermi in un certo modo: forse dipenderà dal carattere o kissà cos altro, fatto sta ke io ho avuto l'impressione di un po' di acidità.
Ripeto, nn è x polemizzare, x me finisce qui, [/OT]

[Dr Mal]

Originariamente inviato da span
Leggendo in giro pare che questo antivirus riesca a rilevarlo http://www.tgsoft.it/italy/index_ita.html

Installa la versione lite e fai l'aggiornamento (Tool > Aggiornamenti Online)

Qui la scheda del virus http://www.virit.com/startup/scheda.asp?num=190

grazie x la segnalazione span, ma come hai fatto a sapere ke ero qui?
cmq provo anke questo!
c s becca in ot di html!

[eraser]

É una variante del worm RBOT, si copia all'interno della directory system32 come vpc32.exe e aggiunge la voce sul registro:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services]

"Microsoft Update"="C:\%systemdir%\vpc32.exe"

Una volta attivo tenta di connettersi ad un server irc e rimane in ascolto sulla porta tcp 113.

Crea un Mutex denominato [JuVeOwnZ].

Una volta connesso al server rimane in attesa di comandi che possono variare da attacchi DoS a scanning di range di ip alla ricerca di eventuali vulnerabilità quali la famosa MS04-011 o una vulnerabilità in SQL Server 2000 (forse anche MS03-49).
Permette di utilizzare la webcam per spiare da remoto l'utente ignaro, ha funzioni di keylogger e utilizza lo sniffer carnivore.
Ha funzioni di server SOCKS4 e tenta di rubare i cd-key di alcuni giochi e il Microsoft Windows Product ID.