Name:Worm/Autorun.VIN
Entdeckt am:18/10/2009
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Niedrig bis mittel
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigröße:3.426.506 Bytes
MD5 Prüfsumme:43a4dde94650e0406f1b5f25af0ff3fe
IVDF Version:7.01.06.119 - Sonntag, 18. Oktober 2009

 General Verbreitungsmethode:
   • Autorun Dateien


Aliases:
   •  Mcafee: W32/Autorun.worm.c
   •  Sophos: W32/RealBot-C
   •  Panda: W32/IRCBot.CRH
   •  Eset: Win32/AutoRun.DK
   •  Bitdefender: Worm.Autorun.VIN


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schädliche Dateien
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %HOME%\Application Data\WindowsLive.exe
   • %Laufwerk%\exploredrive.exe



Folgende Datei wird gelöscht:
   • %home%\Application Data\newe



Es werden folgende Dateien erstellt:

– %TEMPDIR%\Live
– %Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

– %TEMPDIR%\profilew.exe Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Autorun.axpv

 Registry Zu jedem Registry key wird je einer der Werte hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

–  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Live"="%HOME%\Application Data\WindowsLive.exe"

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Windows Live"="%HOME%\Application Data\WindowsLive.exe"



Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\SOFTWARE\WindowsLive]
   • "version"="201"

 IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: serv01.colo.owned.hu
Port: 31092
Channel: #support#
Nickname: NEW-%Name des Computers%

Die Beschreibung wurde erstellt von Petre Galan am Montag, 15. März 2010
Die Beschreibung wurde geändert von Petre Galan am Montag, 15. März 2010

zurück . . . .