Technische Beschreibung:

Nach der Ausführung geschieht Folgendes:
1. Schafft den Mutex Y&T
2. Schafft den Registry Key
HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersionRunKernelFaultChk
der auf den Virus weist (sms.exe in System/32 Ordner).
3. Zu bestimmten Ereignissen vernichtet der Virus:
C:boot.ini
C:autoexec.bat
C:config.sys
C:Windowswin.ini
C:Windowssystem.ini
C:Windowswininit.ini
C:Winntwin.ini
C:Winntsystem.ini
C:Winntwininit.ini.
4. Schafft eine Kopie des Virus als sms.exe im System/32 Ordner.
5. Plaziert eine Kopie in
WinXPKeyGen.exe
Windows2003Keygen.exe
mIRC.v6.12.Keygen.exe
Norton.All.Products.KeyMkr.exe
F-Secure.Antivirus.Keymkr.exe
FlashFXP.v2.1.FINAL.Crack.exe
SecureCRTPatch.exe
TweakXPProKeyGenerator.exe
FRUITYLOOPS.SPYWIRE.FIX.EXE
ALL.SERIALS.COLLECTION.2003-2004.EXE
WinRescue.XP.v1.08.14.exe
GoldenHawk.CDRWin.v3.9E.Incl.Keygen.exe
BlindWrite.Suite.v4.5.2.Serial.Generator.exe
Serv-U.allversions.Keymaker.exe
WinZip.exe
WinRar.exe
WinAmp5.Crack.exe.
im Share von SoulSeeker Dateisharing Programmen.
6. Versucht Prozesse zu beenden, die in ihrem Namen enthalten:
_avp
kfp4gui
kfp4ss
zonealarm
Azonealarm
avwupd32
avwin95
avsched32
avnt
avkserv
avgw
avgctrl
avgcc32
ave32
avconsol
apvxdwin
ackwin32
blackice
blackd
dv95
espwatch
esafe
efinet32
ecengine
f-stopw
fp-win
f-prot95
f-prot
fprot
f-agnt95
gibe
iomon98
iface
icsupp
icssuppnt
icmoon
icmon
icloadnt
icload95
ibmavsp
ibmasn
iamserv
iamapp
kpfw32
nvc95
nupgrade
nupdate
normist
nmain
nisum
navw
navsched
navnt
navlu32
navapw32
zapro
7. beginnt auf Port 2766 (ACE in hex) abzuhören
8. Benutzt die Backdoor Novarg/Mydoom zur Verbreitung
9. Hat Backdoor Verhalten: versucht sich mit verschiedenen IRC Servern zu verbinden und wartet auf einen Angreifer, der Befehle erteilt.
10. entfernt Taskmon und Explorer Keys von HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersionRun

Entfernung:

[ Zurück zum Anfang ]