Worm/NetSky.Q - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Netsky.Q
Entdeckt am:	29/03/2004
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig
Statische Datei:	Ja
Dateigröße:	28.008 Bytes
MD5 Prüfsumme:	04871d17dbbd1911afc76aad6d9dbd20
VDF Version:	6.24.0.75

General Verbreitungsmethode:
   • Email

Aliases:
   • Symantec: W32.Netsky.Q@mm
   • Mcafee: W32/Netsky.q@MM
   • Kaspersky: Email-Worm.Win32.NetSky.r
   • TrendMicro: WORM_NETSKY.Q
   • Grisoft: I-Worm/Netsky.R
   • VirusBuster: I-Worm.Netsky.R
   • Bitdefender: Win32.NetSky.Q@mm

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt eine potentiell gefährliche Datei
   • Verfügt über eigene Email Engine
   • Änderung an der Registry
   • Macht sich Software Verwundbarkeit zu nutzen

Nach Aktivierung wird ein Windows Programm gestartet welches folgendes Fenster anzeigt:

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %WINDIR%\sysmonxp.exe

Es wird ein Archiv mit einer Kopie seiner selbst erstellt:
   • %WINDIR%\zippedbase64.tmp

Es werden folgende Dateien erstellt:

– MIME enkodierte Kopie seiner selbst:
   • %WINDIR%\base64.tmp
   • %WINDIR%\zipo0.txt
   • %WINDIR%\zipo1.txt
   • %WINDIR%\zipo2.txt
   • %WINDIR%\zipo3.txt

– %WINDIR%\firewalllogger.txt Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/NetSky.Q.Drp

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "SysMonXP"="%WINDIR%\SysMonXP.exe"

Alle Werte der folgenden Registryschlüssel und alle Subkeys werden gelöscht:
   • [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF]
   • [HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Exploit:
Manchmal wird folgende Sicherheitslücke wird ausgenutzt:
– MS01-020 (Incorrect MIME Header Can Cause IE to Execute E-mail Attachment)

Von:
Die Absenderadresse wurde gefälscht.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.

Betreff:
Der Betreff wird wie folgt zusammengesetzt:

    Es beginnt mit einer der folgenden:
   • Delivery Bot
   • Server Error
   • Deliver Mail
   • Delivery Failed
   • Unknown Exception
   • Failed
   • Failure
   • Status
   • Error
   • Delivered Message
   • Mail System
   • Mail Delivery System
   • Mail Delivery failure
   • Delivery
   • Delivery Failure
   • Delivery Error

    Gefolgt von einer der folgenden:
   • %Emailadresse des Empfängers%

Body:

Der Body der Email ist folgender:

   • Delivery Agent - Translation failed

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Delivery Failure - Invalid mail specification

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery Failure - This mail couldn't be shown.

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery Failure - This mail couldn't be shown.

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery System - This mail contains binary characters

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Transaction Failed - This mail couldn't be converted

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery Error - This mail contains unicode characters

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery Failed - This mail couldn't be represented

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

   • Mail Delivery - This mail couldn't be displayed

     ------------- failed message -------------
     %zufällige Buchstabenkombination%

Gefolgt von einer der folgenden:

   • Note: Received message has been sent as a binary file.

   • Modified message has been sent as a binary attachment.

   • Received message has been sent as an encoded attachment.

   • Translated message has been attached.

   • Message has been sent as a binary attachment.

   • Received message has been attached.

   • Partial message is available and has been sent as a binary attachment.

   • The message has been sent as a binary attachment.

Manchmal gefolgt von einer der folgenden:

   • Or you can view this message at:

     www.%Domäne des Empfängers%/inmail%Domain Name der Emailadresse des Empfängers%/mread.php/sessionid-%mehrere zufällige Zahlen von 0 - 9%

Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

– Es beginnt mit einer der folgenden:
   • data
   • mail
   • msg
   • message

Manchmal gefolgt von einer der folgenden:
   • %mehrere zufällige Zahlen von 0 - 9%

    Die Dateierweiterung ist eine der folgenden:
   • .pif
   • .zip

Hier sind einige Beispiel wie der Dateinamen des Anhangs aussehen könnte:
   • mail3729.zip
   • data14025.pif
   • message.pif

Die Email könnte wie eine der folgenden aussehen.

Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • .ppt; .xls; .stm; .ods; .nch; .mmf; .mht; .mdx; .mbx; .cfg; .xml;
      .wsh; .jsp; .html; .htm; .pl; .dbx; .tbb; .adb; .dhtm; .cgi; .shtm;
      .uin; .rtf; .vbs; .msg; .oft; .sht; .doc; .wab; .asp; .php; .txt; .eml

Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • reports@; spam@; noreply@; @viruslis; ntivir; @sophos; @freeav;
      @pandasof; @skynet; @messagel; abuse@; @fbi; @norton; @f-pro;
      @kaspersky; @mcafee; @norman; @bitdefender; @f-secur; @avp; @spam;
      @symantec; @antivi; @microsof

DoS werden DoS Attacken gegen folgende Ziele gestartet:
   • www.edonkey2000.com
   • www.kazaa.com
   • www.emule-project.net
   • www.cracks.am
   • www.cracks.st

Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_

String:
Des Weiteren enthält es folgende Zeichenketten:
   • We are the only SkyNet, we don't have any criminal inspirations.
   • Due to many reports, we do not have any backdoors included for spam relaying.
   • and we aren't children. Due to this, many reports are wrong.
   • We don't use any virus creation toolkits, only the higher language
   • Microsoft Visual C++ 6.0. We want to prevent hacker,.
   • cracking, sharing with illegal stuff and similar illegal content.
   • Hey, big firms only want to make a lot of money.
   • That is what we don't prefer. We want to solve and avoid it.
   • Note: Users do not need a new av-update, they need
   • a better education! We will envolope...
   • - Best regards, the SkyNet Antivirus Team, Russia 05:11 P.M -

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Thu, 29 Sep 2005 13:35 (GMT+1)
Beschreibung geändert von Andrei Gherman am Fri, 30 Sep 2005 10:39 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück