Worm/VB.bl.2.A - Worm

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	Worm/VB.bl.2.A
Entdeckt am:	24/10/2006
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig bis mittel
Schadenspotenzial:	Mittel
Statische Datei:	Ja
Dateigröße:	19.456 Bytes
MD5 Prüfsumme:	efc854153fbbe960b2da221d4c937288
VDF Version:	6.36.00.115 - Mon, 16 Oct 2006 18:38 (GMT+1)
IVDF Version:	6.36.00.131 - Thu, 19 Oct 2006 08:05 (GMT+1)

General Verbreitungsmethode:
   • Gemappte Netzlaufwerke

Aliases:
   • Mcafee: Generic BackDoor.k
   • Kaspersky: Virus.Win32.VB.bl
   • Bitdefender: Generic.Malware.SD.05261FA0

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt eine Datei
   • Änderung an der Registry

Dateien Kopien seiner selbst werden hier erzeugt:
   • %WINDIR%\Desktop.com
   • %SYSDIR%\Check.exe
   • %SYSDIR%\Direct.com
   • %home%\Start Menu\Programs\Startup\Scan.pif

Folgende Dateien werden überschreiben.
– %alle Verzeichnisse%

Dateiendung:
   • .doc

Mit folgendem Inhalt:
   • %ausgeführte Datei%

Es wird folgende Datei erstellt:

– Eine Datei für temporären Gebrauch. Diese wird möglicherweise wieder gelöscht.
   • %TEMPDIR%\~DF%vierstellige zufällige Buchstabenkombination%.tmp

Registry Die folgenden Registryschlüssel werden in einer Endlosschleife fortlaufen hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Check"="%SYSDIR%\Check.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Desktop"="%WINDIR%\Desktop.com"

Folgender Registryschlüssel wird hinzugefügt:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   • "NoFind"=hex(4):31
   • "NoFolderOptions"=hex(4):31

Folgende Registryschlüssel werden geändert:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
   Neuer Wert:
   • "DisableRegistryTools"=dword:00000030
     "DisableTaskMgr"=dword:00000030

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   Neuer Wert:
   • "Hidden"=hex(4):32
     "HideFileExt"=hex(4):31

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
• UPX

Kurzfassung hier.

Beschreibung erstellt von Monica Ghitun am Tue, 24 Oct 2006 12:36 (GMT+1)
Beschreibung geändert von Monica Ghitun am Wed, 22 Nov 2006 16:58 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück