Bugbear est un ver qui se propage par email. Il peut aussi se propager via le réseau partagé. Il a de plus des propriétés de backdoor. Il est écrit en Microsoft Visual C/C++ et comprimé avec UPX.

Une fois éxécuté, Il se copie comme C: \ le % le Système %\F ***.exe, où * représente des lettres choisies par le ver.

Il se copie au dossier de démarrage comme C **.exe, où * représente des lettres choisies par le ver.
Il crée les fichiers suivants:
C: \ % Système %\iccyoa.dll
C: \ % Système %\lgguqaa.dll
C: \ % Système %\roomuaa.dll
C: \ % Windir %\okkqsa.dat
C: \ % Windir %\ussiwa.dat

Il ajoute une valeur qui se réfère au fichier du ver à la clef de registre:
HKEY_LOCAL_MACHINE\Software\Microsoft\W indows\CurrentVersion\RunOnce

Il tue les processus suivants :
ZONEALARM.EXE
WFINDV32. EXE
WEBSCANX.EXE
VSSTAT.EXE
VSHWIN32. EXE
VSECOMR.EXE
VSCAN40. EXE
VETTRAY.EXE
VET95. EXE
TDS2-NT.EXE
TDS2-98. EXE
TCA.EXE
TBSCAN.EXE
SWEEP95. EXE
SPHINX.EXE
SMC.EXE
SERV95. EXE
SCRSCAN.EXE
SCANPM.EXE
SCAN95. EXE
SCAN32. EXE
SAFEWEB.EXE
RESCUE.EXE
RAV7WIN.EXE
RAV7. EXE
PERSFW.EXE
PCFWALLICON.EXE
PCCWIN98. EXE
PAVW.EXE
PAVSCHED.EXE
PAVCL.EXE
PADMIN.EXE
OUTPOST.EXE
NVC95. EXE
NUPGRADE.EXE
NORMIST.EXE
NMAIN.EXE
NISUM.EXE
NAVWNT.EXE
NAVW32. EXE
NAVNT.EXE
NAVLU32. EXE
NAVAPW32. EXE
N32SCANW.EXE
MPFTRAY.EXE
MOOLIVE.EXE
LUALL.EXE
LOOKOUT.EXE
LOCKDOWN2000. EXE
JEDI.EXE
IOMON98. EXE
IFACE.EXE
ICSUPPNT.EXE
ICSUPP95. EXE
ICMON.EXE
ICLOADNT.EXE
ICLOAD95. EXE
IBMAVSP.EXE
IBMASN.EXE
IAMSERV.EXE
IAMAPP.EXE
FRW.EXE
FPROT.EXE
FP-WIN.EXE
FINDVIRU.EXE
F-STOPW.EXE
F-PROT95. EXE
F-PROT.EXE
F-AGNT95. EXE
ESPWATCH.EXE
ESAFE.EXE
ECENGINE.EXE
DVP95_0. EXE
DVP95. EXE
CLEANER3. EXE
CLEANER.EXE
CLAW95CF.EXE
CLAW95. EXE
CFINET32. EXE
CFINET.EXE
CFIAUDIT.EXE
CFIADMIN.EXE
BLACKICE.EXE
BLACKD.EXE
AVWUPD32. EXE
AVWIN95. EXE
AVSCHED32. EXE
AVPUPD.EXE
AVPTC32. EXE
AVPM.EXE
AVPDOS32. EXE
AVPCC.EXE
AVP32. EXE
AVP.EXE
AVNT.EXE
AVKSERV.EXE
AVGCTRL.EXE
AVE32. EXE
AVCONSOL.EXE
AUTODOWN.EXE
APVXDWIN.EXE
ANTI-TROJAN.EXE
ACKWIN32. EXE
_AVPM.EXE
_AVPCC.EXE
_AVP32. EXE

Il essaye de se copier au dossier de Démarrage des machines sur le réseau partagé C **.EXE, où * représente des lettres choisies par le ver.

Il recherche les adresses électroniques dans Outlook et dans les fichiers avec les extensions suivantes:
MMF
NCH
MBX
EML
TBB
DBX

Il récupère l'adresse électronique de l'utilisateur actuel et le serveur de SMTP dans la clef de registre:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\In ternet Estiment Manager\Accounts

Il emploie alors son propre moteur de SMTP pour s'envoyer à toutes les adresses électroniques qu'il trouve. Le sujet, le message et le nom d'attachement semblent être pris du système infecté. Le fichier d'attachement a deux extensions, la deuxième extension est .scr ou .pif.

Il peut aussi envoyer un email à une adresse électronique prédéterminée par le ver. L'attachement est setup.exe, qui contient des informations sur l'ordinateur compromis.

Il ouvre le port TCP 36794 et permet au pirate informatique éloigné de prendre le contrôle de l'ordinateur compromis

Pour se desinfecter:
Mettre à jour son anti virus
Scanner votre ordinateur et toutes les machines de votre réseaux.
Supprimer tous les fichiers détectés comme Bugbear.

Virus Xabot

Xabot est un ver qui essaye de se propager par Irc et peer-to-peer. Il possede aussi des fonctionnalités indetiques à un trojan, permettant de prendre controle d'un pc infecté à distance. L'existence du dossier wininit32.exe est une indication d'une infection possible.
Suite...

---

Virus Hobble.F (alias Alcatap )

Hobble.F est une variante du ver de Hobble. Il essaye de se propager à travers le réseau de partage de KaZaA. Il s'envoie également aux adresses d'email qu'il recherche à partir des dossiers htm et html qu'il trouve dans le cache d'Internet Explorer, et à toutes les adresses dans le carnet d'adresses de Microsoft Outlook.
Suite...

---

Virus SQLExp SQL Slammer responsable du ralentissement

Ce ver est le responsable du ralentissement actuel d'internet. Il rappelle Code red et semble aussi virulent que ce dernier. Il est indetecté par les anti virus type scanner car il exsite uniquement en memoire. Le ver envoie 376 bits au port 1434 udp - le port de service de résolution de serveur de SQL.
Suite...

---

Virus Lirva alias Avril.A Lirva.b Lirva.a Avron.c

Lirva est un ver qui se propage par egalement IRC, ICQ, KaZaA et le réseau. Ce ver essaye de terminer les processus d'antivirus et de firewall. Il envoit par email les mots de passe cachés de gestion de connection de Windows 95/98/Me à l'auteur de virus.
Suite...

---

Virus Cult.B alias Lanet

Cult.B est un ver qui utilise son propre moteur de smtp pour se propager. Les destinataires de l'email sont construits aléatoirement d'une liste de nom et d'un domaine choisi. Cult.B essaye également de se propager en utilisant le réseau de partage de KaZaA. De plus, le ver permet une prise de controle à distance du PC infecté.
Suite...

---