Worm/Bobic.Crypt - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Bobic.Crypt
Entdeckt am:	14/09/2005
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig
Statische Datei:	Ja
Dateigröße:	42.887 Bytes
MD5 Prüfsumme:	1219697f35ba9ad7d33fa21dd18050f0
Engine Version:	6.32.0.5

General Verbreitungsmethoden:
   • Email

Aliases:
   • Bitdefender: Win32.Worm.Bobic.M

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Blockiert Zugriff auf verschiedene Webseiten
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %TEMPDIR%\%zufällige Buchstabenkombination%

Es wird versucht die folgenden Dateien herunterzuladen:

– Die URL ist folgende:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– Die URL ist folgende:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.dynserv.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– Die URL ist folgende:
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– Die URL ist folgende:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.3-a.net/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– Die URL ist folgende:
   • **********.hn.org/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

– Die URL ist folgende:
   • **********.3-a.net/reg?u=494E8737&v=190&s=29245&su=27220&p=1&e=0&o=0&a=1&wr=75

– Die URL ist folgende:
   • **********.1dumb.com/reg?u=494E8737&v=190&s=25121&su=24849&p=0&e=0&o=0&a=0&wr=75

Registry Folgender Registryschlüssel wird geändert:

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Alter Wert:
   • "Start"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "Start"=dword:00000004

Email Die Malware verfügt über eine eigene SMTP engine um Spam Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.
Gesammelte Adressen aus dem Internet. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Gesammelte Adressen aus dem Internet.

Betreff:
Eine der folgenden:
   • $320,000 for less than $600 a month!; $325,000 for less than $613 a
      month!; ...; After 30 years.; Antoinette!; Attack obesity; Aurelia!;
      Bill!; Bobby!; Brain?; Bridgett!; Burn body fat; Burn calories;
      Darryl!; Dena!; Emma!; Emmett!; Erich!; Feel full and satisfied all
      day long; Frances!; FW: FW: your private invitation %two-digit random
      character string%-%zufällige Buchstabenkombination%.; Fwd:
      Look your best during the summer months; Gary!; Get your personalized
      rate quote NOW!; Getting back to you.; Ginger!; Gracie!; Harley!;
      Haunted by your credit score?; Haunted by your past?; Hello.; Hey
      Alejandro!; Hey Amelia!; Hey Barbara!; Hey Barry!; Hey Betsy!; Hey
      Britney!; Hey Casandra!; Hey Charmaine!; Hey Clara!; Hey Clement!; Hey
      Colby!; Hey Dina!; Hey Dorothy!; Hey Flora!; Hey Genaro!; Hey Ivory!;
      Hey Jack!; Hey Jessica!; Hey Johnnie!; Hey Joshua!; Hey Justin!; Hey
      Kerri!; Hey Liza!; Hey Luella!; Hey Orville!; Hey Raphael!; Hey
      Reginald!; Hey Rosalie!; Hey Shawn!; Hey Sophie!; Hey Tamika!; Hey
      Tom!; Hey Winfred!; Hey!; Hey.; Hola!; How are you?; Imelda!; Increase
      your energy levels; Increase your metabolism; Invitation.; Jayson!;
      Joann!; Jonah!; Just reduce it.; Kelvin!; Lara!; Leonard!; Loretta!;
      Lose excess weight; Maintain your weight loss; Make losing weight a
      sure guarantee; Marcia!; Margo!; Maximum results seen after only a few
      weeks; Mortgage News Update.; No known side effects; Octavio!;
      Pauline!; Personalized mortgage rate quote!; Pre-approved Application
      %%four-digit random character string% |; Rate Quote for free!; Re:;
      re:%two-digit random character string%; Re: abbreviate.; Re: amarillo;
      Re: belie.; Re: blackball.; Re: burdock; Re: Burn.; Re: canvas; Re:
      carbonic; Re: chariot; Re: chimera.; Re: colatitude.; Re: command.;
      Re: comprehensible.; Re: confabulate; Re: congressmen.; Re: contain;
      Re: dale; Re: demur.; Re: dhabi.; Re: dieldrin.; Re: dime.; Re: ed.;
      Re: essex; Re: evaluable; Re: Favour.; Re: formulate.; Re: fusiform;
      Re: gland.; Re: global; Re: goatherd.; Re: goodwill; Re: harvey.; Re:
      haulage.; Re: hausdorff; Re: Hello.; Re: Help.; Re: herein; Re: Hey.;
      Re: hypoactive; Re: imp; Re: index.; Re: jeep.; Re: lithospheric.; Re:
      mac.; Re: marque.; Re: matchmake; Re: melinda; Re: minot.; Re: morton;
      Re: nepenthe; Re: network; Re: octogenarian; Re: parch.; Re: partake;
      Re: pinwheel; Re: plagioclase.; Re: procrustean; Re: pudding; Re:
      quetzal; Re: rancho; Re: ravine.; Re: redbud.; Re: regressive.; Re:
      relate.; Re: Request!; Re: roth.; Re: rowley.; Re: scientist; Re:
      shown.; Re: skunk.; Re: sloppy; Re: snappy.; Re: stephanotis; Re:
      strongroom.; Re: taxonomy; Re: teaspoonful.; Re: The miracle.; Re:
      thrift; Re: transposition; Re: tuberculin; Re: utter; Re: westminster;
      Re: Your order.; Request.; Response to your request.; Suitable for
      vegetarians and vegans; Summer!; Suppress your appetite; The miracle.;
      Truman!; Two hundred and thirty thousand dollars for only $320/month;
      Tyler!; Victoria!; Wilmer!; Your order:%four-digit random character
      string%.; Your order:%four-digit random character string%. You have
      been refunded.

Manchmal kann die Betreffzeile auch leer sein.

Body:
Der Body der Email ist folgender:

   • We are happy to present you with six deals from four different brokers.
     Please remember that there is no commitment required on your part, and your credit is not an issue.
     Please validate your information with our secure and private database to ensure our records are up to date and accurate.
     http://**********rns.com/p1.asp
      Have a good day.
      Sincerely,
     %Benutzernamen der Emailadresse des Absenders%
     Customer Service Rep.
     eKLID Inc.

Gefolgt von einer der folgenden:

   • %zufällige Wörter%

Die Email könnte wie eine der folgenden aussehen.

Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall bleiben bestehende Einträge erhalten.

– Zugriff auf folgende Domain wird erfolgreich unterbunden:
   • 255.255.255.255 ar.atwola.com atdmt.com avp.ch avp.com avp.ru
      awaps.net ca.com dispatch.mcafee.com download.mcafee.com
      download.microsoft.com downloads.microsoft.com engine.awaps.net
      f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com
      liveupdate.symantec.com mast.mcafee.com mcafee.com msdn.microsoft.com
      my-etrust.com nai.com networkassociates.com office.microsoft.com
      phx.corporate-ir.net secure.nai.com securityresponse.symantec.com
      service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com
      symantec.com update.symantec.com updates.symantec.com us.mcafee.com
      vil.nai.com viruslist.ru windowsupdate.microsoft.com www.avp.ch
      www.avp.com www.avp.ru www.awaps.net www.ca.com www.f-secure.com
      www.kaspersky.ru www.mcafee.com www.my-etrust.com www.nai.com
      www.networkassociates.com www.sophos.com www.symantec.com
      www.trendmicro.com www.viruslist.com www.viruslist.ru www3.ca.com

Die modifizierte Host Datei sieht wie folgt aus:

Hintertür Hierdurch werden Hintertürfunktionen bereitgestellt.

Injektion – Es injiziert sich in einen Prozess.

Prozessname:
• %WINDIR%\Explorer.exe

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• Neolite

Kurzfassung hier.

Beschreibung erstellt von Victor Tone am Thu, 15 Sep 2005 17:17 (GMT+1)
Beschreibung geändert von Victor Tone am Tue, 20 Sep 2005 14:39 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück