Worm/AutoIt.B - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/AutoIt.B
Entdeckt am:	20/09/2006
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	181.472 Bytes
MD5 Prüfsumme:	2c978e0144ec56646a527473b87ebb6b
VDF Version:	6.36.00.36 - Wed, 20 Sep 2006 11:01 (GMT+1)
IVDF Version:	6.36.00.46 - Thu, 21 Sep 2006 15:33 (GMT+1)

General Verbreitungsmethode:
   • Messenger

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Änderung an der Registry

Dateien Kopien seiner selbst werden hier erzeugt:
• %WINDIR%\svchost32.exe
• %temporary internet files%\Content.IE5\C5MBSP2B\host[1].jpg

Registry Folgende Registryschlüssel werden hinzugefügt:

– [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   • "Homepage"=dword:00000001

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Start Page"="http://www.geocities.co.jp/**********"
   • "Window Title"="Viva TermeX !"

– [HKCU\Software\Yahoo\pager\View\YMSGR_buzz]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKCU\Software\Yahoo\pager\View\YMSGR_Launchcast]
   • "content url"="http://www.geocities.co.jp/**********"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Task Manager"="c:\windows\\svchost32.exe"

Folgender Registryschlüssel wird geändert:

Deaktivieren von Regedit und Task Manager:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Alter Wert:
   • "DisableTaskMgr"=dword:00000001
   • "DisableRegistryTools"=dword:00000001
   Neuer Wert:
   • "DisableTaskMgr"=%Einstellungen des Benutzers%
   • "DisableRegistryTools"=%Einstellungen des Benutzers%

Messenger Es verbreitet sich über Messenger. Die Charakteristiken sind folgende:

– Yahoo Messenger

An:
Alle Einträge aus der Kontaktliste.

Nachricht
Die verschickte Nachricht sieht wie eine der folgenden aus:

   • the only way to clean some online viruses that may lead you into troubles : %link% <<

   • A new dangerous computer virus that can destroys all your data has just been released . Click here to know how to avoid it : %link% <<

   • have you ever seen such a silly man like this ? %link% =))

   • Just check out my new personal website : %link% C00l !!!

   • Now you can avoid some critical online viruses by updating Windows . Click here to know how to Update your Windows : %link%

   • wtf is this ? Wanna give me a shit ? %link% x-( <<

   • Let's vote for Miss Vietnam - Mai Phuong Thuy - for the upcoming Miss World championship : %link% !!

   • cool girls : %link% :x:x:x:x:x

   • Cac ban co the tranh bi nhiem cac loai virus online gan day bang cach update Windows . Vao day de biet cach Update Win ma ko can ban quyen Windows xin: %link%

   • making money online never be easier : %link%

   • di'nh virus ru`i =)) du`ng cai nay ma diet na`y : %link%

   • Download free MP3s : %link% <<

   • ha`i dek chiu dc =)) %link% =)) =))

%link%
Während der Platzhalter einer der folgenden entspricht:
   • http://www.geocities.co.jp/**********
   • http://www.geocities.co.jp/**********

Die empfangenen Nachrichten könnten wie folgt aussehen:

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Victor Tone am Mon, 18 Sep 2006 10:26 (GMT+1)
Beschreibung geändert von Victor Tone am Wed, 20 Sep 2006 14:40 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück