Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:Worm/Lovgate.V
Entdeckt am:04/04/2004
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Mittel bis hoch
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigre:126.976 Bytes
MD5 Prfsumme:183597d85245115814705d4c6976421e
VDF Version:6.24.00.84

 Allgemein Verbreitungsmethoden:
   • Email
   • Lokales Netzwerk


Aliases:
   •  Symantec: W32.Lovgate.R@mm
   •  Mcafee: W32/Lovgate.x@MM
   •  Kaspersky: Email-Worm.Win32.LovGate.w
   •  TrendMicro: WORM_LOVGATE.V
   •  Sophos: W32/Lovgate-V
   •  Grisoft: I-Worm/Lovgate.S
   •  VirusBuster: I-Worm.Lovgate.AL
   •  Eset: Win32/Lovgate.Z
   •  Bitdefender: Win32.Lovgate.V@mm


Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schdliche Dateien
   • Verfgt ber eigene Email Engine
   • Setzt Sicherheitseinstellungen herunter
   • nderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\SYSTRA.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\COMMAND.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\IEXPLORE.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\RAVMOND.exe
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\hxdef.exe
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\kernel66.dll



Es werden Archive mit Kopien seiner selbst erstellt:
   • %Wurzelverzeichnis des Systemlaufwerks%\WORK.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\WORK.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\setup.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\setup.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\Important.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\Important.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\bak.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\bak.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\letter.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\letter.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\pass.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\pass.RAR



Es werden folgende Dateien erstellt:

%Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\ODBC16.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.2

%Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\msjdbc11.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.2

%Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\MSSIGN30.DLL Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.2

%Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\NetMeeting.exe Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.1

%Wurzelverzeichnis des Systemlaufwerks%\AUTORUN.INF

 Registry Der folgende Registryschlssel wird hinzugefgt um den Prozess nach einem Neustart des Systems erneut zu starten.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Program In Windows"="%SYSDIR%\IEXPLORE.EXE"
   • "Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
   • "VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Hardware Profile"="%SYSDIR%\hxdef.exe"



Die folgenden Registryschlssel werden hinzugefgt um den Service nach einem Neustart des Systems erneut zu laden.

HKLM\SYSTEM\CurrentControlSet\Services\_reg
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"=Rundll32.exe msjdbc11.dll ondll_server
   • "DisplayName"="_reg"
   • "ObjectName"="LocalSystem"



Folgender Registryschlssel wird hinzugefgt:

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
   • "run"="RAVMOND.exe"

 Email Die Malware verfgt ber eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgefhrt:
Die Malware nutzt Messaging Application Programming Interface (MAPI) um Antworten auf gespeicherte Emails im Posteingang zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgefhrt:


Von:
Die Absenderadresse wurde geflscht.
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist mglich, dass er nichts ber seine Infektion wei oder sogar nicht infiziert ist. Des Weiteren ist es mglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was mglicherweise auch nicht stimmt.


An:
– Email Adressen welche in ausgewhlten Dateien auf dem System gefunden wurden.
 Gesammelte Email Adressen aus WAB (Windows Addressbuch)
– Generierte Adressen


Betreff:
Eine der folgenden:
   • Error
   • Status
   • Server Report
   • Mail Transaction Failed
   • Mail Delivery System
   • hello
   • Re:%ursprnglicher Betreff%

Des Weiteren kann die Betreffzeile zufllige Zeichen enthalten.


Body:
–  Kann unter Umstnden zufllige Daten beinhalten.


Der Body der Email ist einer der folgenden:
   • Mail failed. For further assistance, please contact!
   • The message contains Unicode characters and has been sent as a binary attachment.
   • It's the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
Der Body der Email ist folgender:

   • %ursprnglicher Absender% wrote:
     ====
     %ursprngliche Nachricht%
     ====
     %Domne des Absenders% account auto-reply
     
      If you can keep your head when all about you
      Are losing theirs and blaming it on you;
      If you can trust yourself when all men doubt you,
      But make allowance for their doubting too;
      If you can wait and not be tired by waiting,
      Or, being lied about,don't deal in lies,
      Or, being hated, don't give way to hating,
      And yet don't look too good, nor talk too wise;
      ... ... more look to the attachment.
     
      > Get your FREE %Domne des Absenders% now! <


Dateianhang:
Der Dateiname des Anhangs ist einer der folgenden:
   • the hardcore game-.pif
   • Sex in Office.rm.scr
   • Deutsch BloodPatch!.exe
   • s3msong.MP3.pif
   • Me_nude.AVI.pif
   • How to Crack all gamez.exe
   • Macromedia Flash.scr
   • SETUP.EXE
   • Shakira.zip.exe
   • dreamweaver MX (crack).exe
   • StarWars2 - CloneAttack.rm.scr
   • Industry Giant II.exe
   • DSL Modem Uncapper.rar.exe
   • joke.pif
   • Britney spears nude.exe.txt.exe
   • I am For u.doc.exe
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

–  Es beginnt mit einer der folgenden:
   • body
   • message
   • test
   • data
   • file
   • text
   • doc
   • readme
   • document
   • %zufllige Buchstabenkombination%

    Die Dateierweiterung ist eine der folgenden:
   • bat
   • cmd
   • exe
   • scr
   • pif
   • zip

Der Dateianhang ist eine Kopie der Malware.

Der Dateianhang ist ein Archiv welches eine Kopie der Malware enthlt.



Die Email sieht wie folgt aus:


 Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • wab
   • adb
   • tbb
   • dbx
   • asp
   • php
   • sht
   • htm
   • txt
   • tmp


Erzeugen von Adressen fr den Absender und Empfnger:
Um Adressen zu generieren werden folgende Zeichenketten verwendet:
   • sandra; linda; julie; jimmy; jerry; helen; debby; claudia; brenda;
      anna; brent; adam; ted; fred; jack; bill; stan; smith; steve; matt;
      dave; dan; joe; jane; bob; robert; peter; tom; ray; mary; serg; brian;
      jim; maria; leo; jose; andrew; sam; george; david; kevin; mike; james;
      michael; alex; john

Es wird mit Domain namen kombiniert welche auf dem System in Dateien gefunden wurde.

Der Domain Name ist einer der folgenden:
   • hotmail.com
   • yahoo.com
   • msn.com
   • aol.com


Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • accoun; certific; listserv; ntivi; support; icrosoft; admin; page;
      the.bat; gold-certs; feste; submit; not; help; service; privacy;
      somebody; soft; contact; site; rating; bugs; you; your; someone;
      anyone; nothing; nobody; noone; webmaster; postmaster; samples; info;
      root; mozilla; utgers.ed; tanford.e; pgp; acketst; secur; isc.o;
      isi.e; ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet; fido;
      linux; kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math; unix;
      berkeley; foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai; example;
      inpris; borlan; sopho; panda; icrosof; syma; avp; .edu; -._!; -._!@;
      abuse; www; be_loyal:


Anfgen von MX Zeichenketten:
Um die IP Adresse des Emailservers zu bekommen werden folgende Zeichenketten dem Domain Namen vorgesetzt:
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mx1.
   • smtp.
   • mail.
   • mx.

 P2P Um weitere Systeme im Peer to Peer Netzwerk zu infizieren wird folgendes unternommen: Es wird nach allen freigegebenen Verzeichnissen gesucht.

   War die Suche erfolgreich so werden folgende Dateien erstellt:
   • WinRAR.exe; Internet Explorer.bat; Documents and Settings.txt.exe;
      Microsoft Office.exe; Windows Media Player.zip.exe; Support Tools.exe;
      WindowsUpdate.pif; Cain.pif; MSDN.ZIP.pif; autoexec.bat; findpass.exe;
      client.exe; i386.exe; winhlp32.exe; xcopy.exe; mmc.exe

   Diese Dateien sind Kopien der eigenen Malware Datei

 Infektion ber das Netzwerk Um die weitere Verbreitung sicherzustellen versucht sich die Malware mit anderen Computern zu verbinden. Die Einzelheiten hierzu sind im Folgenden beschrieben.

Eine Kopie seiner selbst wird in folgender freigegebenen Netzressource erstellt:
   • admin$\system32


Um sich Zugriff auf entfernte Computer zu verschaffen werden folgende Anmeldeinformationen genutzt:

Folgende Liste von Benutzernamen:
   • Guest
   • Administrator

Folgende Liste von Passwrtern:
   • zxcv; yxcv; xxx; win; test123; test; temp123; temp; sybase; super;
      sex; secret; pwd; pw123; Password; owner; oracle; mypc123; mypc;
      mypass123; mypass; love; login; Login; Internet; home; godblessyou;
      god; enable; database; computer; alpha; admin123; Admin; abcd; aaa;
      88888888; 2600; 2004; 2003; 123asd; 123abc; 123456789; 1234567;
      123123; 121212; 11111111; 110; 007; 00000000; 000000; pass; 54321;
      12345; password; passwd; server; sql; !@; $%^&*; !@; $%^&; !@; $%^;
      !@; $%; asdfgh; asdf; !@; $; 1234; 111; root; abc123; 12345678;
      abcdefg; abcdef; abc; 888888; 666666; 111111; admin; administrator;
      guest; 654321; 123456


 Prozess Beendigung Prozesse mit einer der folgenden Zeichenketten werden beendet:
   • RISING; SKYNET; SYMANTEC; MCAFEE; GATE; RFW.EXE; RAVMON.EXE; KILL;
      NAV; DUBA; KAV


Liste der Dienste die beendet werden:
   • Rising Realtime Monitor Service
   • Symantec AntiVirus Server
   • Symantec AntiVirus Client

 Hintertr Der folgende Port wird geffnet:

%Verzeichnis in dem die Malware ausgefhrt wurde%\%ausgefhrte Datei% an einem zuflligen TCP port um Backdoor Funktion zur Verfgung zu stellen.

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • UPX

Die Beschreibung wurde erstellt von Irina Boldea am Dienstag, 16. Mai 2006
Die Beschreibung wurde geändert von Irina Boldea am Montag, 5. Juni 2006

zurück . . . .