Worm.Autorun

O Worm.Autorun é uma família de worms que se espalham pelos sistemas, alterando o presente arquivo autorun.inf em qualquer fonte de mídia removível, como unidades USB, DVDs e similares. É feito com a intenção de infectar qualquer sistema em que essas fontes de mídia estejam conectadas.

Os worms de execução automática são frequentemente distribuídos através do uso de arquivos executáveis. O arquivo pode ser uma cópia criada em uma infecção anterior por worm ou pode ter sido descartada em um dispositivo ou computador por kits de exploração ou Trojans. Os executáveis geralmente são salvos no diretório raiz de um computador ou unidade de disco, unidades flash USB, dispositivos móveis e muito mais.

Criação de Cópias e Propagação da Infecção

Quando o arquivo do worm é iniciado, ele faz uma cópia de si mesmo em uma ou várias unidades no dispositivo ou computador em que está presente. Alguns dos worms de execução automática, ele também podem criar cópias de si mesmos em uma rede compartilhada. Enquanto isso continua, o worm também cria um arquivo autorun.inf no diretório raiz de qualquer unidade afetada. O arquivo .inf possui o nome e o local da cópia do worm, além de ser responsável por fazer mais cópias, mesmo que o arquivo original do worm nunca seja reiniciado.

Se a unidade ou o dispositivo afetado for aberto, tal como o File Explorer, o arquivo .inf será executado automaticamente, o que ativará a cópia do worm, que fará mais cópias, repetindo o ciclo várias vezes.

Se a unidade for uma unidade flash USB removível, toda vez que for inserida em um computador ou dispositivo limpo, esse arquivo .inf iniciará a cópia do worm armazenada dentro dela e espalhará a infecção no dispositivo ou no computador recém-conectado.

Os worms de execução automática também podem ter uma carga maliciosa usada para distribuir softwares nocivos, tais como Trojans e backdoors.

SpyHunter detecta e remove Worm.Autorun

Relatório de análise

Informação geral

Nome de família:	Worm.AutoRun
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: 1111624b088f25001bea55e62886a3e8 SHA1: 4c6d65ff66e94c23d7ec6f4edf14fc384cd5a345 SHA256: 0755BDA1CEAC9CFB2A09AF57756AF94B77EFC8AC32712E647EBD075E4F4B4CFE Tamanho do Arquivo: 40.96 KB.40960 bytes

MD5: 8167eb5715f41d3692faa51aac9694b2 SHA1: 5c966d2080173ab96fcca5be117bbd3d2b34cc91 SHA256: 32D5E07CB6EB1D5D1F2E117521E5DABE97EE73CB87B1E986322805DFA6A7826F Tamanho do Arquivo: 23.55 KB.23552 bytes

MD5: 76366b26899c79972d55610c665ea396 SHA1: b630f6eb7191a476637c814cf76c73cf1b9da0fb SHA256: 378E7165433E8BD559B4BD0B5C4CA9D8CE0298EF81714062E47738F47CB7F6AC Tamanho do Arquivo: 212.99 KB.212992 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)

Mostrar mais

• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
Arguments	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Comments	Win64 (x64) Unicode Lib Rel
Company Name	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Email	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
File Description	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
File Version	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Internal Name	TSULoader
Legal Copyright	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Original Filename	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Package Code	{00000000-0000-0000-0000-000000000000}
Product Code	{00000000-0000-0000-0000-000000000000}
Product Name	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Product Version	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Special Build	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Web Site	xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Características do arquivo

• 2+ executable sections
• big overlay
• Installer Manifest
• No Version Info
• x64
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	1
Blocos potencialmente maliciosos:	0
Blocos permitidos:	0
Blocos desconhecidos:	1

Mapa visual

?

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString