Worm/Locksky.AA - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Locksky.AA
Entdeckt am:	16/01/2006
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	29.053 Bytes
MD5 Prüfsumme:	698cce51538c54460844b8388f1f0B1d
VDF Version:	6.33.0.125

General Verbreitungsmethode:
   • Email

Aliases:
   • Symantec: W32.Looksky.G@mm
   • Kaspersky: Email-Worm.Win32.Locksky.ab
   • TrendMicro: WORM_LOCKSKY.AM
   • F-Secure: Email-Worm.Win32.Locksky.ab
   • Sophos: W32/Locksky-AB
   • Panda: W32/Locksky.AU.worm
   • VirusBuster: I-Worm.Locksky.AP
   • Eset: Win32/Locksky.AH
   • Bitdefender: Win32.Locksky.AN@mm

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Zeichnet Tastatureingaben auf
   • Änderung an der Registry
   • Stiehlt Informationen
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Kopien seiner selbst werden hier erzeugt:
   • %WINDIR%\sachostx.exe
   • %Verzeichnis in dem die Malware ausgeführt wurde%\temp.bak

Folgende Datei wird gelöscht:
   • %SYSDIR%\hard.lck

Es werden folgende Dateien erstellt:

– %SYSDIR%\msvcrl.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Locksky.P.9

– %SYSDIR%\sachostp.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Locksky.V.1.B

– %SYSDIR%\sachostc.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: BDS/Locksky.K

– %SYSDIR%\sachostw.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Locksky.T.6

– %SYSDIR%\sachosts.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Locksky.V.1.C

Es wird versucht folgende Datei herunterzuladen:

– Die URLs sind folgende:
   • http://proxy4u.ws:8080/**********
   • http://proxy4u.ws:8080/**********
   • http://usproxy2u.ws:8080/**********
   • http://usproxy2u.ws:8080/**********
Zum Zeitpunkt der Analyse war diese Datei nicht verfügbar.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "HostSrv" = "%WINDIR%\sachostx.exe"

Um die Windows XP Firewall zu umgehen wird folgender Eintrag erstellt:

– HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List
   • "%Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei% "="%Verzeichnis in dem die Malware ausgeführt wurde%\ %ausgeführte Datei% :*:Enabled:enable"
   • "%SYSDIR%\sachostw.exe"="%SYSDIR%\sachostw.exe:*:Enabled:enable"
   • "%SYSDIR%\sachostc.exe"="%SYSDIR%\sachostc.exe:*:Enabled:enable"
   • "%SYSDIR%\sachosts.exe"="%SYSDIR%\sachosts.exe:*:Enabled:enable"

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.
– Gesammelte Email Adressen aus WAB (Windows Addressbuch)

Betreff:
Folgende:
   • Your mail Account is Suspended

Body:
Der Body der Email ist folgender:

   • We regret to inform you that your account has been suspended due to the violation of our site policy, more info is attached.

Dateianhang:
Der Dateiname des Anhangs ist einer der folgenden:
   • acc_info9.exe
   • ebay_info.exe
   • acc_inf19.exe

Der Dateianhang ist eine Kopie der Malware.

Versand Suche nach Adressen:
Es durchsucht folgende Datei nach Emailadressen:
• htm

Hintertür Die folgenden Ports werden geöffnet:

– %SYSDIR%\sachosts.exe an einem zufälligen TCP port um einen HTTP Server zur Verfügung zu stellen.
– %SYSDIR%\sachostc.exe an einem zufälligen TCP port um einen Proxy Server zur Verfügung zu stellen.

Kontaktiert Server:
Den folgenden:
   • http://proxy4u.ws/index.php?

Hierdurch können Informationen gesendet werden.

Sende Informationen über:
    • IP Adresse
    • Aktueller Malware Status
    • Geöffneter Port

Injektion – Es injiziert folgende Datei in einen Prozess: %SYSDIR%\msvcrl.dll

Prozessname:
• %alle laufenden Prozesse%

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 18 Apr 2006 15:23 (GMT+1)
Beschreibung geändert von Irina Boldea am Thu, 20 Apr 2006 08:26 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück