Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:Worm/Sohanad.Gen.13
Entdeckt am:16/02/2011
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig bis mittel
Verbreitungspotenzial:Niedrig bis mittel
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Ja
Dateigröße:490.557 Bytes
MD5 Prüfsumme:e4ee5c05e4edca467d379355b62d1fd8
VDF Version:7.10.08.215
IVDF Version:7.11.03.121 - Mittwoch, 16. Februar 2011

 Allgemein Verbreitungsmethode:
   • Autorun Dateien


Aliases:
   •  Sophos: W32/Sohana-DG
   •  Bitdefender: Trojan.Autoit.ANN
   •  Panda: W32/Sohanat.KO
   •  GData: Trojan.Autoit.ANN


Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Erstellt schädliche Dateien
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\domain.exe
   • %SYSDIR%\win32\csrss.exe
   • %Laufwerk%\iostream.exe
   • %HOME%\Start Menu\Programs\Startup\domain.exe
   • %Laufwerk%\%alle Verzeichnisse%\%Verzeichnisname%.exe



Die anfänglich ausgeführte Kopie der Malware wird gelöscht.



Folgende Datei wird gelöscht:
   • %SYSDIR%\csrss.exe



Es werden folgende Dateien erstellt:

%Verzeichnis in dem die Malware ausgeführt wurde%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%Laufwerk%\autorun.inf Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %Programmcode, der Malware startet%

%SYSDIR%\cmd.bat



Es versucht folgende Dateien auszuführen:

– Dateiname:
   • net user root /add


– Dateiname:
   • net user root 3645923527


– Dateiname:
   • net localgroup administrators root /add


– Dateiname:
   • explorer.exe /n, /root, %Verzeichnis in dem die Malware ausgeführt wurde%


– Dateiname:
   • %SYSDIR%\win32\csrss.exe


– Dateiname:
   • net1 user root /add


– Dateiname:
   • net1 user root 3645923527


– Dateiname:
   • net1 localgroup administrators root /add


– Dateiname:
   • net user "%aktueller Benutzernamen%" " taskmgr"


– Dateiname:
   • net1 user "%aktueller Benutzernamen%" " taskmgr"

 Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "%Name des Computers%@%IP Addresse%"="domain.exe"



Der Wert des folgenden Registry keys wird gelöscht:

–  [HKCU\Software\Microsoft\Internet Explorer\Main]
   • Window Title



Folgende Registryschlüssel werden hinzugefügt:

– [HKCU\Software\Microsoft\Command Processor]
   • "Autorun"="%SYSDIR%\cmd.bat"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\
   Favorites\Favorites Bar]
   • "Order"=hex:08,00,00,00,02,00,00,00,74,00,00,00,01,00,00,00,01,00,00,00,68,00,00,00,00,00,00,00,5A,00,32,00,1A,01,00,00,F8,3A,CD,46,20,00,53,55,47,47,45,53,7E,31,2E,55,52,4C,00,00,3E,00,03,00,04,00,EF,BE,F8,3A,C5,46,F8,3A,C5,46,14,00,00,00,53,00,75,00,67,00,67,00,65,00,73,00,74,00,65,00,64,00,20,00,53,00,69,00,74,00,65,00,73,00,2E,00,75,00,72,00,6C,00,00,00,1C,00,00,00,00,00,00,00

– [HKLM\SOFTWARE\Microsoft\Internet Explorer\MAIN]
   • "FullScreen"="no"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   • "DisableRegistryTools"=dword:0x00000000
   • "DisableTaskMgr"=dword:0x00000000

– [HKLM\SYSTEM\CurrentControlSet\Services\Schedule]
   • "AtTaskMaxHours"=dword:0x00000000

– [HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server]
   • "EnableConcurrentSessions"=dword:0x00000009
   • "MaxOutstandingConnect"=dword:0x0000008f

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NofolderOptions"=dword:0x00000001

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
   SpecialAccounts\UserList]
   • "root"=dword:0x00000000



Folgende Registryschlüssel werden geändert:

– [HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server]
   Neuer Wert:
   • "fDenyTSConnections"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Neuer Wert:
   • "Hidden"=dword:0x00000002
   • "HideFileExt"=dword:0x00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Neuer Wert:
   • "FullScreen"="no"
   • "Start Page"="http://www.google.com/"
   • "Window_Placement"=hex:2C,00,00,00,00,00,00,00,01,00,00,00,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,FF,8E,00,00,00,B1,00,00,00,AE,03,00,00,09,03,00,00

– [HKCU\Software\Microsoft\Internet Explorer\Toolbar]
   Neuer Wert:
   • "Locked"=dword:0x00000001

 Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde erstellt von Petre Galan am Mittwoch, 13. April 2011
Die Beschreibung wurde geändert von Petre Galan am Donnerstag, 14. April 2011

zurück . . . .