Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:Worm/Sohanad.Gen.13
Entdeckt am:16/02/2011
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig bis mittel
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigre:490.557 Bytes
MD5 Prfsumme:e4ee5c05e4edca467d379355b62d1fd8
VDF Version:7.10.08.215
IVDF Version:7.11.03.121 - Mittwoch, 16. Februar 2011

 Allgemein Verbreitungsmethode:
    Autorun Dateien


Aliases:
   •  Sophos: W32/Sohana-DG
   •  Bitdefender: Trojan.Autoit.ANN
   •  Panda: W32/Sohanat.KO
     GData: Trojan.Autoit.ANN


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schdliche Dateien
   • Setzt Sicherheitseinstellungen herunter
   • nderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\domain.exe
   • %SYSDIR%\win32\csrss.exe
   • %Laufwerk%\iostream.exe
   • %HOME%\Start Menu\Programs\Startup\domain.exe
   • %Laufwerk%\%alle Verzeichnisse%\%Verzeichnisname%.exe



Die anfnglich ausgefhrte Kopie der Malware wird gelscht.



Folgende Datei wird gelscht:
   • %SYSDIR%\csrss.exe



Es werden folgende Dateien erstellt:

%Verzeichnis in dem die Malware ausgefhrt wurde%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%SYSDIR%\cmd.bat



Es versucht folgende Dateien auszufhren:

Dateiname:
   • net user root /add


Dateiname:
   • net user root 3645923527


Dateiname:
   • net localgroup administrators root /add


Dateiname:
   • explorer.exe /n, /root, %Verzeichnis in dem die Malware ausgefhrt wurde%


Dateiname:
   • %SYSDIR%\win32\csrss.exe


Dateiname:
   • net1 user root /add


Dateiname:
   • net1 user root 3645923527


Dateiname:
   • net1 localgroup administrators root /add


Dateiname:
   • net user "%aktueller Benutzernamen%" " taskmgr"


Dateiname:
   • net1 user "%aktueller Benutzernamen%" " taskmgr"

 Registry Der folgende Registryschlssel wird hinzugefgt um den Prozess nach einem Neustart des Systems erneut zu starten.

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "%Name des Computers%@%IP Addresse%"="domain.exe"



Der Wert des folgenden Registry keys wird gelscht:

–  [HKCU\Software\Microsoft\Internet Explorer\Main]
   • Window Title



Folgende Registryschlssel werden hinzugefgt:

[HKCU\Software\Microsoft\Command Processor]
   • "Autorun"="%SYSDIR%\cmd.bat"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\
   Favorites\Favorites Bar]
   • "Order"=hex:08,00,00,00,02,00,00,00,74,00,00,00,01,00,00,00,01,00,00,00,68,00,00,00,00,00,00,00,5A,00,32,00,1A,01,00,00,F8,3A,CD,46,20,00,53,55,47,47,45,53,7E,31,2E,55,52,4C,00,00,3E,00,03,00,04,00,EF,BE,F8,3A,C5,46,F8,3A,C5,46,14,00,00,00,53,00,75,00,67,00,67,00,65,00,73,00,74,00,65,00,64,00,20,00,53,00,69,00,74,00,65,00,73,00,2E,00,75,00,72,00,6C,00,00,00,1C,00,00,00,00,00,00,00

[HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN]
   • "FullScreen"="no"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • "DisableRegistryTools"=dword:0x00000000
   • "DisableTaskMgr"=dword:0x00000000

[HKLM\SYSTEM\CurrentControlSet\Services\Schedule]
   • "AtTaskMaxHours"=dword:0x00000000

[HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server]
   • "EnableConcurrentSessions"=dword:0x00000009
   • "MaxOutstandingConnect"=dword:0x0000008f

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NofolderOptions"=dword:0x00000001

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
   SpecialAccounts\UserList]
   • "root"=dword:0x00000000



Folgende Registryschlssel werden gendert:

[HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server]
   Neuer Wert:
   • "fDenyTSConnections"=dword:0x00000000

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Neuer Wert:
   • "Hidden"=dword:0x00000002
   • "HideFileExt"=dword:0x00000001

[HKCU\Software\Microsoft\Internet Explorer\Main]
   Neuer Wert:
   • "FullScreen"="no"
   • "Start Page"="http://www.google.com/"
   • "Window_Placement"=hex:2C,00,00,00,00,00,00,00,01,00,00,00,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,8E,00,00,00,B1,00,00,00,AE,03,00,00,09,03,00,00

[HKCU\Software\Microsoft\Internet Explorer\Toolbar]
   Neuer Wert:
   • "Locked"=dword:0x00000001

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Mittwoch, 13. April 2011
Die Beschreibung wurde geändert von Petre Galan am Donnerstag, 14. April 2011

zurück . . . .