 |
Symptome :
|
- Präsenz in folgenden Systemordnern:
Dateien mit wechselnden Namen bestehend aus 8 Ziffern jeweils bestehend
aus extension .dll und einer extension .exe wie z.B. :Norton Update.exe
Viele der .dll-Dateien speichern Emailadressen. diese Dateien sind
recht "klein" (etwa 1 kbyte)
Eine .dll sowie die dazugehörige .exe-Datei sind Kopien des Virus.
Identivizieren kann man diese an der Grösse ( 11,745 byte ).
Der Task Manager sowie der Task Monitor arbeiten nicht mehr. Der Wurm
hat diese Dienste abgeschaltet.
Wenn der Virus läuft, öffnet sich eine Fake Error Box mit folgendem
Text:
"Error in packed file!"
- Präsenz in folgenden Registrierungsschlüsseln- und Einträgen:
[HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run\ "Wxp4"="%SYSTEM%\Norton
Update.exe"]
[HKEY_LOCAL_MACHINE\Software\Microsoft\ _Wxp4]
Registrierungseinträge enthalten Informationen über die infizierten
Computer und die genauen Namen der exe und der DLL-Dateien. |
|
Technische Beschreibung:
|
Der Virus kommt per Email in folgenden Formaten: (für die Länderdomainendungen:
.hu .de .nl .cz .fr .it .com .ru)
Absender: spoofed
Betreffszeile der Mail:
Christmas Kort!
Christmas Vykort!
Christmas Postkort!
Christmas postikorti!
Christmas Atviruka!
Christmas - Kartki!
Weihnachten card.
Prettige Kerstdagen!
Christmas pohlednice
Mailinhalt: Eine Weihnachtskarte mit gelben Sternen sowie einiger Anhänge.
Bildergrösse: in etwai 11 KB
Eine der Mailanhänge führt den Virus aus und dieser wiederum
macht folgendes:
1. Führt den "Wxp4" mutex aus, damit die Datei nicht mehrfach
läuft
2. verhindert die Ausführung einiger Prozesse wie: reged, msconfig,
task, (eg: regedit, taskman, taskmon, mstask, msconfig)
3. sucht nach Emailadressen in diesen Dateiendungen: htm, wab, txt, dbx, tbb, asp, php, sht, adb, mbx, eml, pmr, fpt, inb
vermeidet
allerdings Emailadressen mit: yaho, google, win, use, info, help, admi, webm, micro, msn, hotm, suppor, syman, viru,trend,secur, panda, cafee, sopho, kasper
5. speichert gefundene Mailadressen wie oben beschrieben in den dll-Dateien
innerhalb des Systemordners.
6. generiert Registrierungseinträge- und Schlüssel:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Wxp4]
[HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run \"Wxp4"="%SYSTEM%\ Norton
Update.exe"]
7. Er nutzt seine eigene smtp-Engineum sich selbst über die gesammelten
Emails zu verbreiten.
8. Generiert Kopien des Virus in Ordnern wie :"share", "upload"
,"music" als "winamp 5.7 new!.exe" oder "ICQ
2005a new!.exe"
9. generiert unter c:\s.cm diese Datei
[ Zurück zum Anfang ]
|
