Worm/NetSky.X - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/NetSky.X
Entdeckt am:	20/04/2004
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Mittel
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig
Statische Datei:	Ja
Dateigröße:	24.064 Bytes
MD5 Prüfsumme:	E6D771C24E8DBAF9543851E893C3E304
VDF Version:	6.25.00.17

General Verbreitungsmethode:
   • Email

Aliases:
   • Symantec: W32.Netsky.W@mm
   • Mcafee: W32/Netsky.w@MM
   • Kaspersky: Email-Worm.Win32.NetSky.x
   • TrendMicro: WORM_NETSKY.W
   • F-Secure: W32/Netsky.W@mm
   • Grisoft: I-Worm/Netsky.CORRUPTED
   • VirusBuster: I-Worm.Netsky.O
   • Bitdefender: Win32.Netsky.X@mm

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Verfügt über eigene Email Engine
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %WINDIR%\VisualGuard.exe

Es wird ein Archiv mit einer Kopie seiner selbst erstellt:
   • %WINDIR%\zipped.tmp

Es werden folgende Dateien erstellt:

– MIME enkodierte Kopie seiner selbst:
   • %WINDIR%\zip1.tmp
   • %WINDIR%\zip2.tmp
   • %WINDIR%\zip3.tmp
   • %WINDIR%\zip4.tmp
   • %WINDIR%\zip5.tmp
   • %WINDIR%\zip6.tmp
   • %WINDIR%\base64.tmp

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "NetDy"="%WINDIR%\VisualGuard.exe"

Die Werte der folgenden Registry keys werden gelöscht:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Explorer
   • system
   • msgsvr32
   • service
   • DELETE ME
   • Sentry
   • Taskmon
   • Windows Services Host

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Explorer
   • au.exe
   • d3dupdate.exe
   • OLE
   • gouday.exe
   • rate.exe
   • Taskmon
   • Windows Services Host
   • sysmon.exe
   • srate.exe
   • ssate.exe

– [HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}]
   • InProcServer32

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.

Betreff:
Der Betreff wird wie folgt zusammengesetzt:

    Manchmal beginnt er mit einem der folgenden:
   • RE:

    Manchmal gefolgt von einer der folgenden:
   • RE:

    Gefolgt von einer der folgenden:
   • read it immediately
   • important
   • improved
   • patched
   • corrected
   • approved
   • thanks!
   • hello
   • here
   • document_all
   • text
   • message
   • data
   • excel document
   • word document
   • bill
   • screensaver
   • application
   • website
   • product
   • letter
   • information
   • details
   • file
   • document

Body:
– Verwendung von HTML Inhalten.

Der Body der Email ist einer der folgenden:

   • Your details.

   • Your document.

   • I have received your document. The corrected document is attached.

   • I have attached your document.

   • Your document is attached to this mail.

   • Authentication required.

   • Requested file.

   • See the file.

   • Please read the important document.

   • Please confirm the document.

   • Your file is attached.

   • "Please read the document.

   • Your document is attached.

   • Please read the attached file.

   • Please see the attached file for details.

Gefolgt von einer der folgenden:

   • %Dateiname des Dateianhangs%:No Virus Found
     Powered by the new Norton OnlineScan
     Get protected: www.symantec.com

Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

– Es beginnt mit einer der folgenden:
   • document_all
   • text
   • message
   • data
   • excel document
   • word document
   • bill
   • screensaver
   • application
   • website
   • product
   • letter
   • information
   • details
   • file
   • document
   • important
   • approved

Manchmal gefolgt von einer der folgenden:
   • _%Benutzernamen der Emailadresse des Empfängers%

    Die Dateierweiterung ist eine der folgenden:
   • .zip
   • .pif
   • .exe
   • .scr

Hier sind einige Beispiel wie der Dateinamen des Anhangs aussehen könnte:
   • text_user.exe
   • excel document.pif

Die Email könnte wie eine der folgenden aussehen.

Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • .xml; .wsh; .jsp; .msg; .oft; .sht; .dbx; .tbb; .adb; .dhtm; .cgi;
      .shtm; .uin; .rtf; .vbs; .doc; .wab; .asp; .php; .txt; .eml; .html;
      .htm; .pl

Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • NetDy_Mutex_Psycho

String:
Des Weiteren enthält es folgende Zeichenketten:
   • "<*>NetDy: Thanks to the SkyNet alias NetSky crew for the sourcecode."
   • "<*>NetDy: We have rewritten NetSky."
   • "<*>NetDy: Thats a good tactic to detroy the bagle and mydoom worms."
   • "<*>NetDy: Our group will continue the war."
   • "<*>NetDy: Malware writers 'End' comes true."
   • "<*>NetDy: Our Social Engineering is the best *lol* (You have no virus symantec says!)."
   • "<*>NetDy: ----------------------------------------------------------------------------"
   • "<*>NetDy: We are greeting all russia people!"
   • "USA SUCKS!!! AFGHAN SUCKS 2!!! BURN, SADDAM! BURN IN HELL! AND YOU, OSAMA BIN LADEN,"
   • "BURN IN THE DEVILS FIRE 2!!!"
   • "SHAME ON YOU MR. BUSH!!!"
   • "YOURS SINCERELY: H."
   • "---> THIS IS A MESSAGE FROM: Skynet.cz-FANATICON"

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Fri, 26 Aug 2005 17:00 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Tue, 14 Mar 2006 08:57 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück