Xabot est un ver qui essaye de se propager par Irc et peer-to-peer. Il possede aussi des fonctionnalités indetiques à un trojan, permettant de prendre controle d'un pc infecté à distance. L'existence du dossier wininit32.exe est une indication d'une infection possible.

Quand W32.Xabot.Worm est exécuté, il fait ce qui suit:
se copie dans %System%\wininit32.exe.

se copie lui même aux dossiers suivants:
dossier partagée dans KaZaA
mondossier partagée dans Morpheus
dossier DownloadsLocation dans iMesh
\Program Files\eDonkey2000\incoming
\Program Files\LimWire\Shared
dossier musique
comme fichier suivants:
Doom 3 NO CD Crack.exe
Half-Life 2 Keygen.exe
Half-Life 2 NO CD Crack.exe
Jedi Academy NO CD Crack.exe
Max Payne 2 NO CD Crack.exe
Medal Of Honor - Pacific Assault NO CD Crack.exe

Ajoute les valeurs:
"AllOrNone"="1"
"IncludeKernelFaults"="1"
"IncludeMicrosoftApps"="1"
"IncludeWIndowsApps"="1"
"ShowUI"="0"
"DoReport"="0"
à la clef de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporing

Ajoute la valeur:
"SysInit"="wininit32.exe"
aux clefs de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunServices
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Ajoute la valeur:
"StubPath"="wininit32.exe"
à la clef de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Active Setup\Installed Components\SysInit
Ajoute la valeur:
"LastMonth"="%MonthOfTheYear%"
à la clef de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Connect

Ajoute la valeur:
"DisableRegistryTools"="1"
à la clef de registre:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion \ Policies\System

Ajoute la valeur:
"DisallowRun"="1"
à la clef de registre:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion \ Policies\Explorer

Ajoute les valeurs:
"1"="lockdown.exe"
"2"="vsmain.exe"
"3"="msconfig.exe"
"4"="zonealarm.exe"
"5"="zapro.exe"
"6"="blackd.exe"
"7"="blackice.exe"
"8"="processmonitor.exe"
"9"="pmon.exe"
"10"="smc.exe"
"11"="generics.exe"
"12"="netstat.exe"
"13"="ethereal.exe"
"14"="sniffem.exe"
"15"="monitor.exe"
"16"="lockdown2000.exe" "17"="webtrap.exe"
"18"="programauditor.exe"
"19"="sniffem.exe"
"20"="jammer.exe"
"21"="ldnetmon.exe"
"22"="safeweb.exe"
"23"="realmon.exe"
"24"="guw32.exe"
"25"="regmon.exe"
"26"="netmon.exe"
"27"="portmon.exe"
"28"="filemon.exe"
"29"="scan32.exe"
à la clef de registre: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion \ Policies\Explorer\DisallowRun
Ajoute les clefs de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run-
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunServices-
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run-

Supprime les valeurs suivantes:
"Configuration Loader"
"Update"
"WinUpdate"
"Task Manager"
"Windows API Structure"
"Microsoft Diagnostic"
"3Dfx Acc"
"ABsr"
"adp"
"Advapi"
"AIM reminder"
"Alevir"
"Alogserv"
"Amon"
"AnVir"
"Apvxd"
"Apvxdwin"
"ausvc"
"Avast32"
"AvconsoleEXE"
"Avgserv9.exe"
"AvMaiSrv"
"avpcc"
"avx communicator"
"avxlni"
"awhost32"
"Backwork"
"bargains"
"bitdefenderlive"
"BlackIce Utility"
"BMail Installation"
"Bnexe"
"BOCleanautostart"
"Configuration Manager"
"dlder"
"Vet Alert"
"ExplorerTask"
"Bonzi Buddy"
"boot"
"Bymer.Scanner"
"cAgOu"
"CC2KUI"
"Choke"
"CLICKTHEBUTTON"
"CmeSYS"
"CmeUPD"
"msnb"
"Configuration Wizard"
"CoreSrv"
"CyDoor"
"Debug"
"distributed.net client"
"LangSupportEx"
"DownloadWare"
"Dvp95"
"Eac_Cnry"
"eixfi"
"Element"
"Explorer32"
"F-StopW"
"Gator"
"Vet Start UpHookSys"
"I386"
"Kernell32"
"Kernel32"
"LoadBlackD"
"LoadDBackUp"
"LoadFonts"
"LoadOrderVerification"
"LTM2"
"McAfee Firewall"
"McAfeeVirusScanService" "mnsvc"
"MPFExe"
"MprHTML"
"MSAdmin"
"WinUpdatermsdos423"
"MSKernel32"
"msn"
"Msrc"
"MSREGIT"
"Ms Spool32"
"Mswincfg"
"murphy shield"
"Default"
"MxHLp32"
"Myapp"
"NAV Agent"
"navapw32"
"NAV Configuration Wizard"
"NAV DefAlert"
"Netapi"
"Nod32CC"
"Norton Auto-Protect"
"ogrc"
"PAV.EXE"
"PCStart"
"PersFw"
"PPMemCheck"
"procmon"
"RapApp"
"TaskMan"
"rvds"
"rdvs"
"Registry"
"Run_cd"
"Rundllsystem32"
"RunProg"
"ScanInicio"
"ScrSvr"
"VAGuard"
"server"
"serverex"
"Shellapi32"
"sistrai.exe"
"sistray"
"SyncAgent"
"SysProtect"
"SysScan"
"Explorer"
"SystemBoot"
"SystemFTP"
"SystemMD"
"System Monitor"
"SystemReg"
"System-Service"
"Task Bar"
"TaskReg"
"Taskschd"
"Tau monitor"
"tcactive"
"tcmonitor"
"Tiny Personal Firewall"
"TrojanScanner"
"UMXLDRW"
"vscanner"
"Vshwin32EXE"
"VsStatEXE"
"WebScan"
"WebScanX"
"Webtrap"
"Whvlxd"
"Win32BaseServiceMOD"
"Win32DLL"
"Win32 Rundll Loader"
"Win386"
"Winahlp.exe"
"WIN-BUGSFIX"
"Windows"
"WinDSNX"
"WinLoader"
"WinProfile"
"WinProxy"
"Win Server"
"winserver"
"Win Server Updt"
"Winsvc32"
"Winsys"
"WinSystem"
"WQK"
"Zonavirus"
"ZoneAlarm"
"ZoneAlarm Pro"
"vsmon"
"vsmon.exe"
"zzgshp"
"WinHelp"
"WinGate initialize"
"Program In Windows"
"Remote Procedure Call Locator"
"WinDSNX"
"Windows Subsys"
"msconfigurator"
"ps2"
"cmd"
"Supernova"
"WindowsMGM"
"NeroCheck"
"LoadWinConf"
"messnger"
"explore"
"FuckCop"
"InternetConfigure"
"Api"
"Svhost Loader"
"Gforce4DRv"
"Ccapp"
"Ccevtmgr"
"Ccpxysvc"
"Ccregvfy"
"Cd_load"
"Cmesys"
"Cmgrdian"
"Comsocks"
"Cpdclnt"
"Cpd"
"Absr"
"Adservice"
"Aornum"
"Arupld32"
"Atrack"
"wins"
"fSys"
"rundll"
"rundll32"
"Network Connections"
"NTFix"
"System Service"
"windows update"
"WinConfig"
"print sharing"
"WindowsUpdate"
"Loader"
"GForce4DR"
"Microsoft System Monitor"
"Windows Registry Checker"
"WindowsFix32"
"winupd32.exe"
"CriticalUpdate"
"Wininit"
"LoadWinConf"
"vhostl"
"Svhost Loader"
"GForce4DRv"
"ssdpsrv.exe"
"ssdpsvr.exe"
"System Service"
"WindowsUpdate"
"Internat32.exe"
"Winsock2 driverSysCmd"
"NTsocket"
"updatek"
"webiss"
"explorer"
"systemtray"
"systemtray32"
"SystemTray32"
"systray"
"SysTray"
"SysTray32"
"GhostStartTrayApp"
"SymTray - Norton SystemWorks"
"fuckyou"
"WinFix32.exe"
"vptray"
"SystemUpdate"
"Microsoft Configuration"
"WinApp32"
"SVHOST"
"PrinTray"
"tskdbg"
"CMESys"
"CMD"
"WINTASK"
"TaskMonitor"
"winapidr"
"Com+Services"
"System Configuration"
"WIN32 DEBUG"
"poeto."
"NAV Live Update"
"Windows Explorer"
"config32.exe"
"Pop3trap.exe"
"WebTrapNT.exe"
"TrackPointSrv"
"Microsoft Netview"
"Generic Host Process for Win32 Services"...
"AdobeA"
"win32app"
"Explorer de la dc"
"ColdLife - icmp"
"ColdLife ?icmp"
"NT Guard"
"Sustem"
"updateWin"
"Winsock32 driver"
"windows auto update"
des clefs de registre:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunServices
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion \ RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Essaye de supprimer les dossiers suivants du dossier Systeme:
syscfg32.exe
cnfgldr.exe
sysmon16.exe
tskmgr32.exe
winsys.exe
tskman.exe
taskmrg.exe
win.exe
syslog.exe
msgsrv.exe
msnb.exe
TCPSVS32.exe
NAV32_loader.exe
winservices.exe
RAVMOND.exe
WinHelp.exe
IEXPLORE.exe

Essaye de supprimer les fichiers de windows:
temp\\r.bat
Hello-Kitty.exe
BigMac.exe
WINMGM32.exe
SNTMLS.dat
DWN.dat
SNTMLS.dat
fonts\\explorer.exe
fonts\\rundll32.exelitmus\\winup.exe
litmus\\MSGSRV320.exe
litmus\\MSGORV32.exe
litmus\\msgsrv32.exe
litmus\\killer.exe
DIRECX.dll
mirc.exe
mirc32.exe
temp.exe
temp2.exe
explore.exe
psexec.exe
rconnect.exe
whvlxd.exe
iiscache.dll
vbrun7.dll
mirc.ini
mirc2.ini
mirc3.ini
script.ini
auth.ini
settings.ini
pr.ini
whvlxd.dat
fdrive.dat
gates.txt
temp.scr
Winnt32.nfo
remote.ini

Emploie son propre client du Internet Relay Chat (IRC) pour se relier à un canal.

Pour se désinfecter:
Pour XP/2000: désactiver le systeme de sauvegarde.
restaurer votre registre depuis une sauvegarde non infectée ou bien inverser les modifications faite au registre par le virus.
Redemarrer.
Mettre à jour votre anti-virus.
Scanner l'integralité de vos disques avec vontre antivirus.
Supprimer tous les fichiers détectés infectés par un virus.

Cesser de telecharger tout et n'importe quoi sans passer un coup d'anti-virus avant d'executer un fichier reçu par mail ou irc ou peer-to-peer ou telecharger, meme s'il vient d'un ami.

Virus Xabot

Xabot est un ver qui essaye de se propager par Irc et peer-to-peer. Il possede aussi des fonctionnalités indetiques à un trojan, permettant de prendre controle d'un pc infecté à distance. L'existence du dossier wininit32.exe est une indication d'une infection possible.
Suite...

---

Virus Hobble.F (alias Alcatap )

Hobble.F est une variante du ver de Hobble. Il essaye de se propager à travers le réseau de partage de KaZaA. Il s'envoie également aux adresses d'email qu'il recherche à partir des dossiers htm et html qu'il trouve dans le cache d'Internet Explorer, et à toutes les adresses dans le carnet d'adresses de Microsoft Outlook.
Suite...

---

Virus SQLExp SQL Slammer responsable du ralentissement

Ce ver est le responsable du ralentissement actuel d'internet. Il rappelle Code red et semble aussi virulent que ce dernier. Il est indetecté par les anti virus type scanner car il exsite uniquement en memoire. Le ver envoie 376 bits au port 1434 udp - le port de service de résolution de serveur de SQL.
Suite...

---

Virus Lirva alias Avril.A Lirva.b Lirva.a Avron.c

Lirva est un ver qui se propage par egalement IRC, ICQ, KaZaA et le réseau. Ce ver essaye de terminer les processus d'antivirus et de firewall. Il envoit par email les mots de passe cachés de gestion de connection de Windows 95/98/Me à l'auteur de virus.
Suite...

---

Virus Cult.B alias Lanet

Cult.B est un ver qui utilise son propre moteur de smtp pour se propager. Les destinataires de l'email sont construits aléatoirement d'une liste de nom et d'un domaine choisi. Cult.B essaye également de se propager en utilisant le réseau de partage de KaZaA. De plus, le ver permet une prise de controle à distance du PC infecté.
Suite...

---