Win32.Tzar.A@mm - Virensignatur

Symptome :

folgende Präsenzen im Windows-Ordner:

tsunami.exe
raz32.exe
crssr.exe

Technische Beschreibung:

Der Virus ist ein Massen-Mailer, geschrieben in Visual Basic (20K Grösse).

Sobald der Virus gestartet ist kopiert er 3 Files in das Windows-Verzeichnis.
- normalerweise c:\windows
- oder c:\winnt
mit den Namen: "tsunami.exe", "raz32.exe" und "crssr.exe".

Er fügt folgende Registrierungsschlüssel hinzu:

HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\CaptionMgr32 = "%systemroot%\crssr.exe".

Sobald das geschehen ist sucht der Wurm nach E-mail Adressen im Outlook-Adressbuch des Opfers und schickt sich selbst zu jenen Adressen. Diese E-mails haben folgendes Format:

Betreff: Tsunami Donation! Please help!
Mailinhalt: Please help us with your donation and view the attachement below! We need you!
Anhang: tsunami.exe

Das Virus versucht dann eine Verbindung zu folgender Website aufzubauen:
www.hacksector.de

Entfernung:

[ Zurück zum Anfang ]