Worm/AIM.Husky - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/AIM.Husky
Entdeckt am:	14/07/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	37.165 Bytes
MD5 Prüfsumme:	da66a8ae31e61f5c9a01b6a30c4a59b9
VDF Version:	6.35.00.163 - Fri, 14 Jul 2006 06:10 (GMT+1)
IVDF Version:	6.35.00.202 - Sat, 22 Jul 2006 09:08 (GMT+1)

General Verbreitungsmethode:
   • Messenger

Aliases:
   • Kaspersky: Backdoor.Win32.IRCBot.tj
   • TrendMicro: WORM_AIMBOT.AF
   • Bitdefender: Backdoor.IRC.C

Wurde zuvor wie folgt erkannt:
   • TR/AIM.Husky

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Terminierung von Sicherheitsprogrammen
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Kopien seiner selbst werden hier erzeugt:
• c:\winnt\system32\%zufällige Buchstabenkombination%.exe
• c:\windows\SYSTEM32\%zufällige Buchstabenkombination%.exe

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "mb2np"="%zufällige Buchstabenkombination%.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "mb2np"="%zufällige Buchstabenkombination%.exe"

Die Werte des folgenden Registry keys werden gelöscht:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ccApp
   • McAfee Guardian
   • KAV50
   • McAfee.InstantUpdate.Monitor
   • KAVPersonal50
   • avg7_emc
   • avg7_cc
   • nod32kui
   • BDOESRV
   • avast!

Folgende Registryschlüssel werden geändert:

Deaktiviere Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Alter Wert:
   • "EnableFirewall"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile]
   Alter Wert:
   • "EnableFirewall"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "EnableFirewall"=dword:00000000

– [HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile]
   Alter Wert:
   • "EnableFirewall"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\DomainProfile]
   Alter Wert:
   • "EnableFirewall"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "EnableFirewall"=dword:00000000

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile]
   Alter Wert:
   • "EnableFirewall"=%Einstellungen des Benutzers%
   Neuer Wert:
   • "EnableFirewall"=dword:00000000

Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– AIM Messenger

Nachricht
Die verschickte Nachricht sieht wie folgt aus:

• http://%übergebener Parameter%

Die empfangene Nachricht könnte wie folgt aussehen:

IRC Um Systeminformationen zu übermitteln und Fernsteuerung sicherzustellen werden Verbindungen mit folgenden IRC Servern hergestellt:

Server: mb2np.dogi**********.com
Port: 5190
Channel: #mb2np
Nickname: %zufällige Buchstabenkombination%
Passwort: niga

Server: mb2np.steve**********.biz
Port: 5190
Channel: #nigger
Nickname: %zufällige Buchstabenkombination%

– Dieser Schädling hat die Fähigkeit folgende Information zu sammeln und zu übermitteln:
    • Arbeitszeit der Malware

– Des Weiteren besitzt die Malware die Fähigkeit folgende Aktionen durchzuführen:
    • DDoS SYN Angriff starten
    • Datei herunterladen
    • Datei ausführen
    • Starte Verbreitunsroutine

Prozess Beendigung Prozesse mit einem der folgenden Fensternamen werden beendet:
   • WINDOWS TASK MANAGER
   • THE ETHEREAL NETWORK ANALYZER
   • REGISTRY EDITOR
   • SYSTEM CONFIGURATION UTILITY

Diverses Mutex:
Es wird folgender Mutex erzeugt:
• mb2np

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Adriana Popa am Wed, 19 Jul 2006 14:54 (GMT+1)
Beschreibung geändert von Adriana Popa am Tue, 25 Jul 2006 12:52 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück