Worm.Autorun

O Worm.Autorun é uma família de worms que se espalham pelos sistemas, alterando o presente arquivo autorun.inf em qualquer fonte de mídia removível, como unidades USB, DVDs e similares. É feito com a intenção de infectar qualquer sistema em que essas fontes de mídia estejam conectadas.

Os worms de execução automática são frequentemente distribuídos através do uso de arquivos executáveis. O arquivo pode ser uma cópia criada em uma infecção anterior por worm ou pode ter sido descartada em um dispositivo ou computador por kits de exploração ou Trojans. Os executáveis geralmente são salvos no diretório raiz de um computador ou unidade de disco, unidades flash USB, dispositivos móveis e muito mais.

Criação de Cópias e Propagação da Infecção

Quando o arquivo do worm é iniciado, ele faz uma cópia de si mesmo em uma ou várias unidades no dispositivo ou computador em que está presente. Alguns dos worms de execução automática, ele também podem criar cópias de si mesmos em uma rede compartilhada. Enquanto isso continua, o worm também cria um arquivo autorun.inf no diretório raiz de qualquer unidade afetada. O arquivo .inf possui o nome e o local da cópia do worm, além de ser responsável por fazer mais cópias, mesmo que o arquivo original do worm nunca seja reiniciado.

Se a unidade ou o dispositivo afetado for aberto, tal como o File Explorer, o arquivo .inf será executado automaticamente, o que ativará a cópia do worm, que fará mais cópias, repetindo o ciclo várias vezes.

Se a unidade for uma unidade flash USB removível, toda vez que for inserida em um computador ou dispositivo limpo, esse arquivo .inf iniciará a cópia do worm armazenada dentro dela e espalhará a infecção no dispositivo ou no computador recém-conectado.

Os worms de execução automática também podem ter uma carga maliciosa usada para distribuir softwares nocivos, tais como Trojans e backdoors.

SpyHunter detecta e remove Worm.Autorun

Relatório de análise

Informação geral

Family Name:	Worm.AutoRun
Signature status:	No Signature

Known Samples

i

Known Samples

This section lists other file samples believed to be associated with this family.

MD5: 1111624b088f25001bea55e62886a3e8 SHA1: 4c6d65ff66e94c23d7ec6f4edf14fc384cd5a345 SHA256: 0755BDA1CEAC9CFB2A09AF57756AF94B77EFC8AC32712E647EBD075E4F4B4CFE Tamanho do Arquivo: 40.96 KB, 40960 bytes

MD5: 8167eb5715f41d3692faa51aac9694b2 SHA1: 5c966d2080173ab96fcca5be117bbd3d2b34cc91 SHA256: 32D5E07CB6EB1D5D1F2E117521E5DABE97EE73CB87B1E986322805DFA6A7826F Tamanho do Arquivo: 23.55 KB, 23552 bytes

Windows Portable Executable Attributes

i

Windows Portable Executable Attributes

This section lists file attributes found within family samples. These attributes are extracted from the files’ Windows PE (Portable Executable) specification and various system flags. Portable Executable Attributes give malware researchers insight into a file’s functionality, executable details, platform and runtime environment.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)

Show More

• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

File Icons

i

File Icons

This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.

Windows PE Version Information

i

Windows PE Version Information

This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.

Nome	Valor
Arguments	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Comments	Win64 (x64) Unicode Lib Rel
Company Name	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Email	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
File Description	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
File Version	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Internal Name	TSULoader
Legal Copyright	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Original Filename	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Package Code	{00000000-0000-0000-0000-000000000000}
Product Code	{00000000-0000-0000-0000-000000000000}
Product Name	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Product Version	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Special Build	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Web Site	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

File Traits

• Installer Manifest
• No Version Info
• x64
• x86

Block Information

i

Block Information

During analysis, EnigmaSoft breaks file samples into logical blocks for classification and comparison with other samples. Blocks can be used to generate malware detection rules and to group file samples into families based on shared source code, functionality and other distinguishing attributes and characteristics. This section lists a summary of this block data, as well as its classification by EnigmaSoft. A visual representation of the block data is also displayed, where available.

Total Blocks:	21
Potentially Malicious Blocks:	0
Whitelisted Blocks:	3
Unknown Blocks:	18

Visual Map

? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? 0 ? ? ? ?

0 - Probable Safe Block
? - Unknown Block
x - Potentially Malicious Block

Windows API Usage

i

Windows API Usage

This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.

Category	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString