Worm/P2Load.A - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/P2Load.A
Entdeckt am:	16/09/2005
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	45.081 Bytes
MD5 Prüfsumme:	38f55a87047ebe7e13cb01c036528c6a
VDF Version:	6.32.0.14

General Verbreitungsmethode:
   • Peer to Peer

Aliases:
   • Panda: W32/P2load.A.worm
   • Bitdefender: Win32.Worm.P2P.Dutt.A

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Blockiert Zugriff auf verschiedene Webseiten
   • Lädt eine Dateien herunter
   • Änderung an der Registry

Nach Aktivierung wird folgende Information angezeigt:

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\winlogin.exe

Es wird folgende Datei erstellt:

– %home%\Favorites\Musik, Filme, Software und vieles mehr kostenlos!.url

Es wird versucht folgende Datei herunterzuladen:

– Die URL ist folgende:
• http://www.dutty.de/**********.dat
Diese wird lokal gespeichert unter: %WINDIR%\hosts Der Inhalt wird genutzt um die hosts Datei zu modifizieren.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Winlogin"="%SYSDIR%\winlogin.exe"

Folgender Registryschlüssel wird geändert:

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   Alter Wert:
   • "Start Page"=%Einstellungen des Benutzers%
   • "Search Page"=%Einstellungen des Benutzers%
   • "Search Bar"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start Page"="http://www.p2p-load.de/share/?l=e"
   • "Search Page"="http://www.p2p-load.de/share/?l=e"
   • "Search Bar"="http://www.p2p-load.de/share/?l=e"

P2P Um weitere Systeme im Peer to Peer Netzwerk zu infizieren wird folgendes unternommen:

– Es wird nach folgendem Verzeichnis gesucht:
   • C:\Incoming

   Um Standard-Download-Verzeichnisse in Erfahrung zu bringen werden folgende Registry Einträge ausgelesen:
   • HKCU\Software\eMule\Install Path
   • HKCU\Software\Kazaa\localContent\DownloadDir
   • HKCU\Software\iMesh\iMesh5\Transfer\DownloadDir
   • HKCU\Software\Shareaza\Downloads\CompletePath

   War die Suche erfolgreich so wird folgende Datei erstellt:
   • %ausgeführte Datei%

Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall werden die bestehenden Einträge gelöscht.

– Zugriffe auf folgende Domains werden auf andere Ziele umgeleitet:
   • www.google.de; www.google.at; www.google.se; www.google.nl;
      www.google.ch; www.google.pl; www.google.fr; www.google.ie;
      www.google.it; www.google.lv; www.google.pt; www.google.sk;
      www.google.es; www.google.hu; www.google.es; www.google.gr;
      www.google.com; google.de; google.at; google.se; google.nl; google.ch;
      google.pl; google.fr; google.ie; google.it; google.lv; google.pt;
      google.sk; google.es; google.hu; google.es; google.gr; google.com;
      wwwgoogle.at; wwwgoogle.se; wwwgoogle.nl; wwwgoogle.ch; wwwgoogle.pl;
      wwwgoogle.fr; wwwgoogle.ie; wwwgoogle.it; wwwgoogle.lv; wwwgoogle.pt;
      wwwgoogle.sk; wwwgoogle.es; wwwgoogle.hu; wwwgoogle.es; wwwgoogle.gr;
      wwwgoogle.com; www.gogle.de; www.gogle.at; www.gogle.se; www.gogle.nl;
      www.gogle.ch; www.gogle.pl; www.gogle.fr; www.gogle.ie; www.gogle.it;
      www.gogle.lv; www.gogle.pt; www.gogle.sk; www.gogle.es; www.gogle.hu;
      www.gogle.es; www.gogle.gr; www.gogle.com; gogle.de; gogle.at;
      gogle.se; gogle.nl; gogle.ch; gogle.pl; gogle.fr; gogle.ie; gogle.it;
      gogle.lv; gogle.pt; gogle.sk; gogle.es; gogle.hu; gogle.es; gogle.gr;
      gogle.com; www.googel.de; www.googel.at; www.googel.se; www.googel.nl;
      www.googel.ch; www.googel.pl; www.googel.fr; www.googel.ie;
      www.googel.it; www.googel.lv; www.googel.pt; www.googel.sk;
      www.googel.es; www.googel.hu; www.googel.es; www.googel.gr;
      www.googel.com; googel.de; googel.at; googel.se; googel.nl; googel.ch;
      googel.pl; googel.fr; googel.ie; googel.it; googel.lv; googel.pt;
      googel.sk; googel.es; googel.hu; googel.es; googel.gr; googel.com

Die modifizierte Host Datei sieht wie folgt aus:

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Delphi geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Oliver Auerbach am Fri, 16 Sep 2005 12:21 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 16 Sep 2005 17:02 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück