Worm/VB.AT.1 - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/VB.AT.1
Entdeckt am:	03/08/2005
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig
Statische Datei:	Ja
Dateigröße:	12.288 Bytes
MD5 Prüfsumme:	85add335b75d9a6c44019f5ffdbf2b9a
VDF Version:	6.31.01.54 - Wed, 03 Aug 2005 15:21 (GMT+1)

General Verbreitungsmethode:
   • Gemappte Netzlaufwerke

Aliases:
   • Symantec: W32.Cabreck
   • Mcafee: W32/CableNet.worm
   • Kaspersky: Worm.Win32.VB.at
   • TrendMicro: WORM_CABRECK.A
   • Sophos: W32/Cablenet-A
   • Grisoft: Worm/VB.DR
   • VirusBuster: Worm.Cablenet.A
   • Eset: Win32/VB.NCN
   • Bitdefender: Win32.Cablenet.A

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry

Dateien Bereiche werden einer Datei hinzugefügt.
– An: %WINDIR%\win.ini Mit folgendem Inhalt:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

Es wird folgende Datei erstellt:

– %WINDIR%\Cable.ini Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • [CopyRight]
     Author= Gabe
     Name= Cable
     Origin= India
     Type= Netwreck Worm
     Credicts= [Cable] By Gabe (Gabe Roq's Inc.)
     Warning= Amazing things will happen, you just wait...
     Note= Your Death is comming...Anticipation afterall is everything!
     SignNote= Because Death is only the beginning...
     Quote= For those who believe no explanation is necessary, for those who don't nothing will suffice.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
• "run"="Cable.exe"

P2P Um weitere Systeme im Peer to Peer Netzwerk zu infizieren wird folgendes unternommen:

– Es wird nach folgenden Verzeichnissen gesucht:
   • %Wurzelverzeichnis des Systemlaufwerks%
   • %WINDIR%

Es wird nach allen freigegebenen Verzeichnissen gesucht.

   War die Suche erfolgreich so werden folgende Dateien erstellt:
   • Cable.exe; FileCryptor.exe; Microsoft SP4.exe; Acrobat Reader.exe;
      Setup.exe; NAI Mcafee.exe; Norton AV.exe; PGP Free.exe; Password
      recovery.exe; KazzaP2P.exe; Download accelerator.exe; Linux
      Source.exe; Winzip.exe; Lotus app.exe; Netscape.exe; Money Manger.exe;
      Paypal.exe; FixMydoom.exe; BillSux.exe; MorpheusP2P.exe; E_donkey.exe;
      Calvin and Hobbes.exe

   Diese Dateien sind Kopien der eigenen Malware Datei

Das

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 16 May 2006 09:52 (GMT+1)
Beschreibung geändert von Irina Boldea am Tue, 16 May 2006 10:39 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück