Worm/Arduk.G - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Arduk.G
Entdeckt am:	15/07/2005
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	13.312 Bytes
MD5 Prüfsumme:	383a48fe9d8e8d8ba3240756d686c696
VDF Version:	6.25.0.18

General Verbreitungsmethode:
   • Email

Aliases:
   • Symantec: W32.Adurk@mm
   • Mcafee: W32/Ardurk.gen@MM
   • Kaspersky: Email-Worm.Win32.Ardurk.g
   • TrendMicro: WORM_ADURK.A
   • Sophos: W32/Ardurk-G
   • VirusBuster: I-Worm.Ardurk.G

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Verfügt über eigene Email Engine
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Nach Aktivierung wird folgende Information angezeigt:

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\%ausgeführte Datei%.exe

Es erstellt eine Kopie seiner selbst mit einem Dateinamen von einer Liste:
Mit einem der folgenden Namen:
   • %jede *.htm Datei% .exe

Bereiche werden einer Datei hinzugefügt.
– An: %jede *.htm Datei% .exe Mit folgendem Inhalt:
   • <OBJECT type="application/x-oleobject"CLASSID="%generierter CLSID%"></OBJECT><!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Namesd"="%ausgeführte Datei%.exe"

Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %ausgeführte Datei%.exe]
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "DisplayName"="%ausgeführte Datei%.exe"
   • "ObjectName"="LocalSystem"
   • "ImagePath"="%SYSDIR%\%ausgeführte Datei%.exe "

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %ausgeführte Datei%.exe\Enum]
   • "0"="Root\\LEGACY_%ausgeführte Datei%.EXE\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

– [HKLM\SYSTEM\CurrentControlSet\Services\
   %ausgeführte Datei%.exe\Security]
   • Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
      00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
      00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
      05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
      20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
      00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
      00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

Folgende Registryschlüssel werden hinzugefügt:

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%ausgeführte Datei%.EXE]
   • "NextInstance"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%ausgeführte Datei%.EXE\0000]
   • "Service"="%ausgeführte Datei%.exe"
   • "Legacy"=dword:00000001
   • "ConfigFlags"=dword:00000000
   • "Class"="LegacyDriver"
   • "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   • "DeviceDesc"="%ausgeführte Datei%.exe"

– [HKLM\SYSTEM\CurrentControlSet\Enum\Root\
   LEGACY_%ausgeführte Datei%.EXE\0000\Control]
   • "*NewlyCreated*"=dword:00000000
   • "ActiveService"="%ausgeführte Datei%.exe"

– HKCR\CLSID\{%generierter CLSID%}\LocalServer32]
   • @="%Verzeichnis in dem die Malware ausgeführt wurde%\\%ausgeführte Datei%.exe"

– [HKCR\CLSID\{%generierter CLSID%}]
   • @="%jede *.htm Datei% .exe"

– [HKCR\CLSID\{%generierter CLSID%}\LocalServer32]
   • @="%Verzeichnis in dem die Malware ausgeführt wurde%\\%jede *.htm Datei% .exe"

Folgende Registryschlüssel werden geändert:

– [HKLM\SYSTEM\ControlSet001\Control\ServiceCurrent]
   Alter Wert:
   • @=dword:0000000a
   Neuer Wert:
   • @=dword:0000000d

– [HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\Shares]
   Alter Wert:
   • "C"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,43,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,00,00,\
      54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
   Neuer Wert:
   • "C"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,43,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,00,00,\
      54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
     "d"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,64,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,64,00,\
      00,00,54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00
     "e"=hex(7):43,00,53,00,43,00,46,00,6c,00,61,00,67,00,73,00,3d,00,30,00,00,00,\
      4d,00,61,00,78,00,55,00,73,00,65,00,73,00,3d,00,34,00,32,00,39,00,34,00,39,\
      00,36,00,37,00,32,00,39,00,35,00,00,00,50,00,61,00,74,00,68,00,3d,00,65,00,\
      3a,00,5c,00,00,00,50,00,65,00,72,00,6d,00,69,00,73,00,73,00,69,00,6f,00,6e,\
      00,73,00,3d,00,30,00,00,00,52,00,65,00,6d,00,61,00,72,00,6b,00,3d,00,65,00,\
      00,00,54,00,79,00,70,00,65,00,3d,00,30,00,00,00,00,00

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.

Betreff:
Folgende:
   • CARTOON %dreistellige zufällige Buchstabenkombination%

Body:
– Verwendung von HTML Inhalten.
– The body of the email contains an URL/IP to malwar (de)

Der Body der Email ist folgender:

   • CARTOON %dreistellige zufällige Buchstabenkombination%
     The
     1 Site for: Cartoons, Hentai & Anime HORNY LITTLE TOONS
     EXCLUSIVE HENTAI CONTENT
     EROTIC ANIME MOVIES
     NEVER SEEN BEFORE CARTOON SLUTS
     JAPANESE MANGA TOONS

     ENTER CARTOON %dreistellige zufällige Buchstabenkombination% HERE!!

     To unsubscribe click here "http://**********.net/remove/remove.php"


Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

– Es beginnt mit einer der folgenden:
   • CARTOON_

Gefolgt von einer der folgenden:
   • %dreistellige zufällige Buchstabenkombination%

    Die Dateierweiterung ist eine der folgenden:
   • .exe

Hier sind einige Beispiel wie der Dateinamen des Anhangs aussehen könnte:
   • CARTOON_222.exe
   • CARTOON_021.exe

Die Email sieht wie folgt aus:

Versand Suche nach Adressen:
Es durchsucht folgende Datei nach Emailadressen:
• HTM

Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • _NextPart_%03d_%04X_%08.8lX.%08.8lX

Netzwerk Shares:
Folgende gesharte Netzlaufwerke werden erstlelt:
   • C:\
   • D:\

Kurzfassung hier.

Beschreibung erstellt von Catalin Jora am Wed, 03 Aug 2005 14:42 (GMT+1)
Beschreibung geändert von Catalin Jora am Fri, 19 Aug 2005 15:51 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück