Win32.Bagle.AL@mm - Virensignatur

Symptome :

Technische Beschreibung:

Der Hauptteil des Wurms schafft eine Mutex namens 'MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D', um zu prüfen, ob er schon läuft.

Er startet einen Thread, der nach einem Prozeß namens "no1t1epad.exe" Ausschau hält und ihn beendet, falls er existiert.

Er sucht auch in Dateien wie "wab", "txt","msg","htm","shtm",
"stm","xml","dbx","mbx","mdx","eml", "nch","mmf","ods","cfg","asp", "php" etc nach Email Adressen

Er benutzt seine eigene SMTP Maschine.

Die Mails, die er verschickt, enthalten nur den ersten Dropper, mit folgenden Namen "price","price2","price_new", "????G?price_08","08_price","newprice","new_price" als .zip Archiv . Die Archive können verschlüsselt sein, so dass der Body der Email das Passwort enthält. Er kann auch einen kurzen String wie "new price" enthalten.

Dieser Wurm nutzt auch die Vorteile der P2P Netzwerke aus, wenn er sich zu verbreiten versucht, mit folgenden Namen:
'Microsoft Office 2003 Crack, Working!.exe',
'Microsoft Windows XP, WinXP Crack, working Keygen.exe',
'Microsoft Office XP working Crack, Keygen.exe',
'Porno, sex, oral, anal cool, awesome!!.exe',
'Porno Screensaver.scr',
'Serials.txt.exe',
'KAV 5.0',
'Kaspersky Antivirus 5.0',
'Porno pics arhive, xxx.exe',
'Windows Sourcecode update.doc.exe',
'Ahead Nero 7.exe',
'Windown Longhorn Beta Leak.exe',
'Opera 8 New!.exe',
'XXX hardcore images.exe',
'WinAmp 6 New!.exe',
'WinAmp 5 Pro Keygen Crack Update.exe',
'Adobe Photoshop 9 full.exe',
'Matrix 3 Revolution English Subtitles.exe',
'ACDSee 9.exe'.

Entfernung:

[ Zurück zum Anfang ]