Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:Worm/Stration.1
Entdeckt am:30/08/2006
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Mittel
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigre:89.829 Bytes
MD5 Prfsumme:029c3f07c57a67df871153701abbe23d
VDF Version:6.35.01.162
IVDF Version:6.35.01.166 - Donnerstag, 31. August 2006

 General Verbreitungsmethode:
   • Email


Aliases:
   •  Kaspersky: Email-Worm.Win32.Warezov.h
   •  TrendMicro: WORM_STRATION.BR
   •  Eset: Win32/Stration.T


Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Ldt eine schdliche Dateien herunter
   • Erstellt eine potentiell gefhrliche Datei
   • Verfgt ber eigene Email Engine
   • nderung an der Registry


Nach Aktivierung wird folgende Information angezeigt:


 Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %WINDIR%\rsmb.exe



Es werden folgende Dateien erstellt:

– Eine Datei welche gesammelte Email Adressen enthlt:
   • %WINDIR%\rsmb.wax

%WINDIR%\rsmb.gfx
%Verzeichnis in dem die Malware ausgefhrt wurde%\%zweistellige zufllige Buchstabenkombination%.tmp
%WINDIR%\rsmb.dll Wird verwendet um einen Prozess zu verstecken. Erkannt als: WORM/Stration.5




Es wird versucht folgende Datei herunterzuladen:

Die URL ist folgende:
   • gadesunheranwui.com/chr/zjjk/**********
Zum Zeitpunkt der Analyse war diese Datei nicht verfgbar.

 Registry Der folgende Registryschlssel wird hinzugefgt um den Prozess nach einem Neustart des Systems erneut zu starten.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "rsmb"="%WINDIR%\rsmb.exe s"

 Email Die Malware verfgt ber eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgefhrt:


Von:
Die Absenderadresse wurde geflscht.


An:
– Email Adressen welche in ausgewhlten Dateien auf dem System gefunden wurden.
 Gesammelte Email Adressen aus WAB (Windows Addressbuch)


Betreff:
Eine der folgenden:
   • Error
   • picture
   • Status
   • Good day
   • Mail Delivery System
   • Mail Transaction Failed



Body:
Der Body der Email ist einer der folgenden:
   • The message contains Unicode characters and has been sentas a binary attachment.
   • The message cannot be represented in 7-bit ASCII encodingand has been sent as a binary attachment
   • Mail transaction failed. Partial message is available.


Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

–  Es beginnt mit einer der folgenden:
   • test
   • file
   • doc
   • document
   • message

    Gefolgt von einer der folgenden geflschen Dateiendungen:
   • dat
   • log
   • msg
   • txt

    Die Dateierweiterung ist eine der folgenden:
   • exe
   • cmd
   • pif

Der Dateianhang ist eine Kopie der Malware.



Die Email sieht wie folgt aus:


 Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • xml; xls; wsh; wab; uin; txt; tbb; stm; shtm; sht; php; oft; ods; nch;
      msg; mmf; mht; mdx; mbx; jsp; html; htm; eml; dhtm; dbx; cgi; cfg;
      asp; adb

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • MEW

Die Beschreibung wurde erstellt von Irina Boldea am Donnerstag, 23. November 2006
Die Beschreibung wurde geändert von Irina Boldea am Donnerstag, 23. November 2006

zurück . . . .