Worm/Lovgate.W.3 - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Lovgate.W.3
Entdeckt am:	21/05/2004
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel bis hoch
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	118.784 Bytes
MD5 Prüfsumme:	b622c59dfb06aaa01382a7db6bfb9e75
VDF Version:	6.25.00.74 - Fri, 21 May 2004 16:56 (GMT+1)

General Verbreitungsmethoden:
   • Email
   • Lokales Netzwerk
   • Peer to Peer

Aliases:
   • Symantec: W32.Lovgate.R@mm
   • Mcafee: W32/Lovgate.x@MM
   • Kaspersky: Email-Worm.Win32.LovGate.w
   • Sophos: W32/Lovgate-V
   • Grisoft: I-Worm/Lovgate.X
   • VirusBuster: I-Worm.Lovgate.AP2
   • Eset: Win32/Lovgate.Z
   • Bitdefender: Win32.Lovgate.V@mm

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt schädliche Dateien
   • Verfügt über eigene Email Engine
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry
   • Ermöglicht unbefugten Zugriff auf den Computer

Dateien Kopien seiner selbst werden hier erzeugt:
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\SYSTRA.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\COMMAND.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\IEXPLORE.EXE
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\RAVMOND.exe
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\hxdef.exe
   • %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\kernel66.dll

Es werden Archive mit Kopien seiner selbst erstellt:
   • %Wurzelverzeichnis des Systemlaufwerks%\WORK.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\WORK.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\setup.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\setup.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\Important.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\Important.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\bak.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\bak.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\letter.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\letter.RAR
   • %Wurzelverzeichnis des Systemlaufwerks%\pass.ZIP
   • %Wurzelverzeichnis des Systemlaufwerks%\pass.RAR

Es werden folgende Dateien erstellt:

– %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\ODBC16.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.DLL

– %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\msjdbc11.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.DLL

– %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\MSSIGN30.DLL Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.DLL

– %Wurzelverzeichnis des Systemlaufwerks%\WINDOWS\System32\NetMeeting.exe Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Lovgate.W.1

– %Wurzelverzeichnis des Systemlaufwerks%\AUTORUN.INF

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Program In Windows"="%SYSDIR%\IEXPLORE.EXE"
   • "Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
   • "VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
   • "Hardware Profile"="%SYSDIR%\hxdef.exe"

Die folgenden Registryschlüssel werden hinzugefügt um den Service nach einem Neustart des Systems erneut zu laden.

– HKLM\SYSTEM\CurrentControlSet\Services\_reg
   • "Type"=dword:00000010
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000001
   • "ImagePath"=Rundll32.exe msjdbc11.dll ondll_server
   • "DisplayName"="_reg"
   • "ObjectName"="LocalSystem"

Folgender Registryschlüssel wird hinzugefügt:

– HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
   • "run"="RAVMOND.exe"

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:
Die Malware nutzt Messaging Application Programming Interface (MAPI) um Antworten auf gespeicherte Emails im Posteingang zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Die Absenderadresse wurde gefälscht.
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.
– Gesammelte Email Adressen aus WAB (Windows Addressbuch)
– Generierte Adressen

Betreff:
Eine der folgenden:
   • Error
   • Status
   • Server Report
   • Mail Transaction Failed
   • Mail Delivery System
   • hello
   • Re:%ursprünglicher Betreff%

Des Weiteren kann die Betreffzeile zufällige Zeichen enthalten.

Body:
– Kann unter Umständen zufällige Daten beinhalten.

Der Body der Email ist einer der folgenden:
   • Mail failed. For further assistance, please contact!
   • The message contains Unicode characters and has been sent as a binary attachment.
   • It's the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
Der Body der Email ist folgender:

   • %ursprünglicher Absender% wrote:
     ====
     %ursprüngliche Nachricht%
     ====
     %Domäne des Absenders% account auto-reply

      If you can keep your head when all about you
      Are losing theirs and blaming it on you;
      If you can trust yourself when all men doubt you,
      But make allowance for their doubting too;
      If you can wait and not be tired by waiting,
      Or, being lied about,don't deal in lies,
      Or, being hated, don't give way to hating,
      And yet don't look too good, nor talk too wise;
      ... ... more look to the attachment.

      > Get your FREE %Domäne des Absenders% now! <

Dateianhang:
Der Dateiname des Anhangs ist einer der folgenden:
   • the hardcore game-.pif
   • Sex in Office.rm.scr
   • Deutsch BloodPatch!.exe
   • s3msong.MP3.pif
   • Me_nude.AVI.pif
   • How to Crack all gamez.exe
   • Macromedia Flash.scr
   • SETUP.EXE
   • Shakira.zip.exe
   • dreamweaver MX (crack).exe
   • StarWars2 - CloneAttack.rm.scr
   • Industry Giant II.exe
   • DSL Modem Uncapper.rar.exe
   • joke.pif
   • Britney spears nude.exe.txt.exe
   • I am For u.doc.exe
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

– Es beginnt mit einer der folgenden:
   • body
   • message
   • test
   • data
   • file
   • text
   • doc
   • readme
   • document
   • %zufällige Buchstabenkombination%

    Die Dateierweiterung ist eine der folgenden:
   • bat
   • cmd
   • exe
   • scr
   • pif
   • zip

Der Dateianhang ist eine Kopie der Malware.

Der Dateianhang ist ein Archiv welches eine Kopie der Malware enthält.

Die Email sieht wie folgt aus:

Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • wab
   • adb
   • tbb
   • dbx
   • asp
   • php
   • sht
   • htm
   • txt
   • tmp

Erzeugen von Adressen für den Absender und Empfänger:
Um Adressen zu generieren werden folgende Zeichenketten verwendet:
   • sandra; linda; julie; jimmy; jerry; helen; debby; claudia; brenda;
      anna; brent; adam; ted; fred; jack; bill; stan; smith; steve; matt;
      dave; dan; joe; jane; bob; robert; peter; tom; ray; mary; serg; brian;
      jim; maria; leo; jose; andrew; sam; george; david; kevin; mike; james;
      michael; alex; john

Es wird mit Domain namen kombiniert welche auf dem System in Dateien gefunden wurde.

Der Domain Name ist einer der folgenden:
   • hotmail.com
   • yahoo.com
   • msn.com
   • aol.com

Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • accoun; certific; listserv; ntivi; support; icrosoft; admin; page;
      the.bat; gold-certs; feste; submit; not; help; service; privacy;
      somebody; soft; contact; site; rating; bugs; you; your; someone;
      anyone; nothing; nobody; noone; webmaster; postmaster; samples; info;
      root; mozilla; utgers.ed; tanford.e; pgp; acketst; secur; isc.o;
      isi.e; ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet; fido;
      linux; kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math; unix;
      berkeley; foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai; example;
      inpris; borlan; sopho; panda; icrosof; syma; avp; .edu; -._!; -._!@;
      abuse; www; be_loyal:

Anfügen von MX Zeichenketten:
Um die IP Adresse des Emailservers zu bekommen werden folgende Zeichenketten dem Domain Namen vorgesetzt:
   • gate.
   • ns.
   • relay.
   • mail1.
   • mxs.
   • mx1.
   • smtp.
   • mail.
   • mx.

P2P Um weitere Systeme im Peer to Peer Netzwerk zu infizieren wird folgendes unternommen:

– Es wird nach allen freigegebenen Verzeichnissen gesucht.

   War die Suche erfolgreich so werden folgende Dateien erstellt:
   • Support Tools.exe; Cain.pif; client.exe; Documents and
      Settings.txt.exe; findpass.exe; i386.exe; Internet Explorer.bat;
      Microsoft Office.exe; mmc.exe; MSDN.ZIP.pif; Support Tools.exe;
      Windows Media Player.zip.exe; WindowsUpdate.pif; winhlp32.exe;
      WinRAR.exe; xcopy.exe

   Diese Dateien sind Kopien der eigenen Malware Datei

Infektion über das Netzwerk Um die weitere Verbreitung sicherzustellen versucht sich die Malware mit anderen Computern zu verbinden. Die Einzelheiten hierzu sind im Folgenden beschrieben.

Eine Kopie seiner selbst wird in folgender freigegebenen Netzressource erstellt:
   • admin$\system32

Um sich Zugriff auf entfernte Computer zu verschaffen werden folgende Anmeldeinformationen genutzt:

– Folgende Liste von Benutzernamen:
   • Guest
   • Administrator

– Folgende Liste von Passwörtern:
   • zxcv; yxcv; xxx; win; test123; test; temp123; temp; sybase; super;
      sex; secret; pwd; pw123; Password; owner; oracle; mypc123; mypc;
      mypass123; mypass; love; login; Login; Internet; home; godblessyou;
      god; enable; database; computer; alpha; admin123; Admin; abcd; aaa;
      88888888; 2600; 2004; 2003; 123asd; 123abc; 123456789; 1234567;
      123123; 121212; 11111111; 110; 007; 00000000; 000000; pass; 54321;
      12345; password; passwd; server; sql; !@; $%^&*; !@; $%^&; !@; $%^;
      !@; $%; asdfgh; asdf; !@; $; 1234; 111; root; abc123; 12345678;
      abcdefg; abcdef; abc; 888888; 666666; 111111; admin; administrator;
      guest; 654321; 123456

Prozess Beendigung Prozesse mit einer der folgenden Zeichenketten werden beendet:
   • RISING; SKYNET; SYMANTEC; MCAFEE; GATE; RFW.EXE; RAVMON.EXE; KILL;
      NAV; DUBA; KAV

Liste der Dienste die beendet werden:
   • Rising Realtime Monitor Service
   • Symantec AntiVirus Server
   • Symantec AntiVirus Client

Hintertür Der folgende Port wird geöffnet:

– %Verzeichnis in dem die Malware ausgeführt wurde%\%ausgeführte Datei% an einem zufälligen TCP port um Backdoor Funktion zur Verfügung zu stellen.

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Wed, 25 Oct 2006 13:50 (GMT+1)
Beschreibung geändert von Irina Boldea am Mon, 06 Nov 2006 11:39 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück