Worm/Atomix.B - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Atomix.B
Entdeckt am:	04/03/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	204.800 Bytes
MD5 Prüfsumme:	2cfa18d8e0d6fb8692fbaf70dd117569
VDF Version:	6.33.01.62 - Sat, 04 Mar 2006 12:23 (GMT+1)

General Verbreitungsmethode:
   • Email
   • Messenger

Aliases:
   • Symantec: W32.Hotmatom
   • Kaspersky: Worm.Win32.VB.cd
   • Bitdefender: Win32.Worm.Atomix.B

Wurde zuvor wie folgt erkannt:
   • Worm/VB.CD.2

Betriebsysteme:
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Zugriff auf Diskette
   • Terminierung von Sicherheitsprogrammen
   • Änderung an der Registry

Nach Aktivierung wird folgende Information angezeigt:

Dateien Kopien seiner selbst werden hier erzeugt:
   • c:\windows\cursores\dho.exe
   • A:\%gelöschte Datei%.exe

Folgende Datei wird gelöscht:
   • A:\*.*

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "atomix"="c:\windows\cursores\dho.exe"

Folgender Registryschlüssel wird hinzugefügt:

– [HKCU\Software\VB and VBA Program Settings\worm\atomix]
   • "virus"="infectado"

Folgender Registryschlüssel wird geändert:

Deaktivieren von Regedit und Task Manager:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\system]
   Alter Wert:
   • "disabletaskmgr"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "disabletaskmgr"="1"

Email Die Malware verfügt über keine eigene Verbreitungsroutine hat jedoch die Fähigkeit eine Nachricht in Emails einzufügen. Die Einzelheiten sind im folgenden aufgeführt:

Überwachnung des Browsers:
Die Routine wird aktiviert wenn das Browserfenster mit einer der folgenden Zeichenketten übereinstimmt:
   • MSN Hotmail - Nuevo mensaje - Microsoft Internet Explorer
   • MSN Hotmail - Responder - Microsoft Internet Explorer
   • MSN Hotmail - New message - Microsoft Internet Explorer

Die Malware wählt eine der folgenden Nachrichten:
   • Hola, feliz dia de san valentin te hice una postal, descargala de aqui http://romanticsl**********
   • Hi, Happy San Valentin Day Download you Postcards from http://romanticsl**********
   • oye hasme un favor sip porfa, esque hice una postal para alguien pero quiero ver si se ve, ayudame, de aqui la descargas, yo la puedo ver pero puess quiero ver si se ve en otro lado, www.romanticsl********** ,me dices ok?

Sie wird am Ende der Email angehängt.

Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– MSN Messenger
– Windows Messenger

An:
Alle geöffneten Gesprächsfenster.

Nachricht
Die verschickte Nachricht sieht wie eine der folgenden aus:

   • i want show you something, www.romanticsl**********

   • oye hasme un favor sip porfa, esque hice una postal para alguien pero quiero ver si se ve, ayudame, de aqui la descargas, yo la puedo ver pero puess quiero ver si se ve en otro lado, www.romanticsl********** ,me dices ok?

Prozess Beendigung Prozesse mit einem der folgenden Fensternamen werden beendet:
   • Administrador de tareas de Windows
   • Panel de control
   • Editor del Registro
   • Restaurar sistema

Diverses Windows Messenger Service:
Es hat die Fähigkeit eine Nachricht mittels Windows Messenger Service zu verschicken. Der Nachrichtentext ist folgender:
• Se ha detectado un virus muy peligroso en la red, descarge gratis el parche de esta pagina www.antivirusp**********

Das Nachrichtenfenser sieht dem folgenden ähnlich:

String:
Des Weiteren enthält es folgende Zeichenkette:
• By Daniela Hernandez Ortiz Acapulco Gro. ADVERTENCIA. Si se elimina el el alojamiento de el gusano atomix, todas las infectadas pereceran.

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Kompilation datum:
Datum: 16/02/2006
Zeit: 05:47:23

Kurzfassung hier.

Beschreibung erstellt von Andrei Ivanes am Wed, 08 Mar 2006 11:27 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Wed, 29 Mar 2006 17:09 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück