Worm/Mytob.EU.1 - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Mytob.EU.1
Entdeckt am:	10/07/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig
Statische Datei:	Ja
Dateigröße:	61.440 Bytes
MD5 Prüfsumme:	7f190C5c0271904bdf0D26ccec0B3b53
VDF Version:	6.35.00.142 - Mon, 10 Jul 2006 12:54 (GMT+1)

General Verbreitungsmethode:
   • Email

Alias:
   • Kaspersky: Net-Worm.Win32.Mytob.eu

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Verfügt über eigene Email Engine

Nach Aktivierung wird folgende Information angezeigt:

Das Bild wurde der Anzeige halber modifiziert.

Dateien Es werden folgende Dateien erstellt:

– Eine Datei für temporären Gebrauch. Diese wird möglicherweise wieder gelöscht.
• %TEMPDIR%\tmp%Hexadezimale Zahl%.tmp

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.
Die Absenderadresse ist des Benutzers Outlook Benutzerkennung
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.
– Gesammelte Email Adressen aus WAB (Windows Addressbuch)
– Generierte Adressen

Betreff:
Eine der folgenden:
   • Error
   • Hello
   • Hi
   • Mail Delivery System
   • Mail Transaction Failed
   • Server Report
   • Status
   • Test

Des Weiteren kann die Betreffzeile zufällige Zeichen enthalten.

Body:
– Kann unter Umständen zufällige Daten beinhalten.

Der Body der Email ist einer der folgenden:
   • test
   • Mail transaction failed. Partial message is available.
   • The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
   • The message contains Unicode characters and has been sent as a binary attachment.

Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

– Es beginnt mit einer der folgenden:
   • body
   • data
   • doc
   • document
   • file
   • message
   • readme
   • test
   • text
   • %zufällige Buchstabenkombination%

    Gefolgt von einer der folgenden gefälschen Dateiendungen:
   • zip
   • bat
   • cmd
   • exe
   • pif
   • scr

Der Dateianhang ist eine Kopie der Malware.

Der Dateianhang ist ein Archiv welches eine Kopie der Malware enthält.

Die Email könnte wie eine der folgenden aussehen.

Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • wab; adb; tbb; dbx; php; sht; htm; txt; tmp; pl; asp

Erzeugen von Adressen für den Absender und Empfänger:
Um Adressen zu generieren werden folgende Zeichenketten verwendet:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; fred; george; helen; jack; james; jane;
      jerry; jim; jimmy; joe; john; jose; julie; kevin; leo; linda; maria;
      mary; matt; michael; mike; peter; ray; robert; sam; sandra; serg;
      smith; stan; steve; ted; tom; %zufällige
      Buchstabenkombination%

Es wird mit Domain namen kombiniert welche auf dem System in Dateien gefunden wurde.

Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • -._!; -._!@; .edu; .gov; .mil; abuse; accoun; acketst; admin; anyone;
      arin.; avp; berkeley; borlan; bsd; bugs; certific; contact; example;
      feste; fido; foo.; fsf.; gnu; gold-certs; google; gov.; help; hotmail;
      iana; ibm.com; icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e;
      kernel; linux; listserv; math; mit.e; mozilla; msn; mydomai; nobody;
      nodomai; noone; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; root; ruslis; samples; secur;
      sendmail; service; site; soft; somebody; someone; sopho; submit;
      support; syma; tanford.e; the.bat; unix; usenet; utgers.ed; webmaster;
      you; your

Anfügen von MX Zeichenketten:
Um die IP Adresse des Emailservers zu bekommen werden folgende Zeichenketten dem Domain Namen vorgesetzt:
   • gate
   • ns
   • relay
   • mail1
   • mxs
   • mx1
   • smtp
   • mail
   • mx

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Kurzfassung hier.

Beschreibung erstellt von Daniel Constantin am Wed, 09 Aug 2006 09:50 (GMT+1)
Beschreibung geändert von Daniel Constantin am Wed, 09 Aug 2006 10:58 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück