Präsenz folgender Dateien im \SYSTEM\ Ordner:
7 Dateien mit zufälligen Names, gebildet aus 8 Ziffern, 6 Dateien mit der Endung .dll und eine mit .exe
5 der .dll Dateien speichern Emailadressen und sind sehr klein (um 1 kbytes)
die 6te .dll Datei und die .exe Datei sind Kopien des Virus und haben jede 11,776 bytes
Präsenz der folgenden Registry Keys:
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrent VersionRun"%random1%"="%random2%.exe
%random3%"]
wo %random1% und %random2% Namen aus 8 zufälligen Ziffern sind und %random3% ein zufälliger Buchstabe ist
[HKEY_LOCAL_MACHINESoftwareMicrosoftHazafi]
mit den Entries R1 bis R9 und RA, die Infos über den infizierten Computer enthalten und den exakten Namen der 7 Dateien (6 dll und 1 exe)
Präsenz im Memory eines Prozesses namens Link
Technische Beschreibung:
Der Virus kommt als Emailanhang
Der Virus macht u.a. Folgendes:
Checkt, ob der Computer mit dem Internet verbunden ist, indem er versucht, google.com zu kontaktieren.
Versucht folgende Prozesse zu beenden:
zonalarm.exe
vbsntw.exe
vbcons.exe
pccguide.exe
outpost.exe
regedit.exe
regedit32.exe
navapw32.exe
pcciomon.exe
navdx.exe
navstub.exe
navw32.exe
nc2000.exe
ndd32.exe
netmon.exe
netarmor.exe
netinfo.exe
nmain.exe
nprotect.exe
ntvdm.exe
ostronet.exe
vsmain.exe
vsmon.exe
vsstat.exe
vbust.exe
mcagent.exe
fsav32.exe
fssm32.exe
fsm32.exe
fsbwsys.exe
fsgk32.exe
dfw.exe
tnbutil.exe
taskmgr.exe
winlogon.exe
fvprotect.exe
Sucht nach Emailadressen in Dateien mit den Endungen htm, wab, txt, dbx, tbb, asp, php, sht, adb, mbx, eml, pmr
Versendet sich über seine eigene SMTP Maschine an die Adressen, aber meidet solche mit den Endungen:
microsoft
vir
trendmicro
avp
f-prot
hotmail
gov
anti
panda
norton
An
dieser Stelle bieten wir kostenlose Zusatzdienste zur Virenentfernung
an, wie z.B: Portscanner
der Portscanner dient dazu Ihre Firewall zu testen
Spyware-Scanner
Zeigt Ihnen kostenlos Schwachstellen auf Ihren PC. Removal
Tools
Zur Entfernung von Viren haben wir hier die kostenlose Downloadrubrik der
Viren-Removaltools.
