Email-Worm.VBS.LoveLetter

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Email-Worm

E-Mail-Würmer verbreiten sich per E-Mail. Der Wurm sendet eine Kopie von sich selbst als Anhang an eine E-Mail-Nachricht oder einen Link zu seiner Datei auf einer Netzwerkressource (z. B. eine URL zu einer infizierten Datei auf einer kompromittierten Website oder einer Hacker-eigenen Website).

Im ersten Fall wird der Wurmcode aktiviert, wenn der infizierte Anhang geöffnet (gestartet) wird. Im zweiten Fall wird der Code aktiviert, wenn der Link zur infizierten Datei geöffnet wird. In beiden Fällen ist das Ergebnis dasselbe: Der Wurmcode ist aktiviert.

Email-Würmer verwenden eine Reihe von Methoden, um infizierte E-Mails zu versenden. Die häufigsten sind:

Verwenden einer direkten Verbindung zu einem SMTP-Server mithilfe des E-Mail-Verzeichnisses, das in den Code des Wurms integriert ist
Verwenden von MS Outlook-Diensten
Verwenden von Windows MAPI-Funktionen.
Email-Würmer verwenden eine Reihe verschiedener Quellen, um E-Mail-Adressen zu finden, an die infizierte E-Mails gesendet werden:

das Adressbuch in MS Outlook
eine WAB-Adressdatenbank
.txt-Dateien, die auf der Festplatte gespeichert sind: Der Wurm kann feststellen, welche Zeichenfolgen in Textdateien E-Mail-Adressen sind
E-Mails im Posteingang (einige E-Mail-Würmer "antworten" sogar auf E-Mails im Posteingang)
Viele E-Mail-Würmer verwenden mehr als eine der oben aufgeführten Quellen. Es gibt auch andere Quellen für E-Mail-Adressen, z. B. Adressbücher für webbasierte E-Mail-Dienste.


Mehr Informationen

Plattform: VBS

Visual Basic Scripting Edition (VBScript) ist eine Skriptsprache, die von Windows Script Host interpretiert wird. VBScript wird häufig zum Erstellen von Skripten unter Microsoft Windows-Betriebssystemen verwendet.

Beschreibung

Technische Details

Dies ist der Internetwurm, der die globale Epidemie Anfang Mai 2000 ausgelöst hat. Der Wurm verbreitet sich per E-Mail, indem er infizierte Nachrichten von betroffenen Computern sendet. Während der Verbreitung verwendet der Wurm MS Outlook und sendet sich an alle Adressen, die im MS Outlook Adressbuch gespeichert sind. Daher sendet ein infizierter Computer so viele Nachrichten an so viele Adressen, wie in der MS Outlook-Kontaktliste gespeichert sind.

Der Wurm ist in der Skriptsprache "Visual Basic Script" (VBS) geschrieben. Es funktioniert nur auf Computern, auf denen der Windows Scripting Host (WSH) installiert wurde. In Windows 98 und Windows 2000 wird WHS standardmäßig installiert. Um sich zu verbreiten, greift der Wurm auf MS Outlook zu und nutzt seine Funktionen und Adresslisten, die nur in Outlook 98/2000 verfügbar sind, so dass der Wurm sich nur verbreiten kann, wenn eine dieser MS Oulook-Versionen installiert ist.

Wenn er ausgeführt wird, sendet der Wurm seine Kopien per E-Mail, installiert sich selbst im System, führt destruktive Aktionen durch, lädt ein Trojaner-Programm herunter und installiert es. Der Wurm hat auch die Fähigkeit, sich durch die mIRC-Kanäle auszubreiten.

Der Wurm enthält "copyright" -Strings:

barok -loveletter (vbe) <ich hasse zur schule gehen>
von: spyder / ispyder@mail.com / @GRAMMERSoft Group / Manila, Philippinen

Verbreitung

Der Wurm kommt als E-Mail-Nachricht mit einer angehängten VBS-Datei, die der Wurm selbst ist, an einen Computer. Die Nachricht in der ursprünglichen Wurm-Version hat:

 Der Betreff: ILOVEYOU 
 Nachrichtentext: Bitte überprüfen Sie die beigefügten Loveletter von mir. 
 Angehängte Dateiname: LOVE-LETTER-FOR-YOU.TXT.vbs

Nach der Aktivierung durch einen Benutzer (durch Doppelklicken auf eine angehängte Datei) öffnet der Wurm MS Outlook, erhält Zugriff auf das Adressbuch, ruft alle Adressen von dort ab und sendet Nachrichten mit seiner angehängten Kopie an alle. Der Name des Nachrichtensubjekts, des Hauptteils und der angehängten Datei sind dieselben wie oben.

Der Wurm installiert sich auch selbst im System. Es erstellt seine Kopien in den Windows-Verzeichnissen mit den Namen:

 im Windows-Verzeichnis: WIN32DLL.VBS  im Windows-Systemverzeichnis: MSKERNEL32.VBS, LOVE-LETTER-FOR-YOU.TXT.VBS

Diese Dateien werden dann in der Windows-Auto-Run-Sektion in der Systemregistrierung registriert:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunMSKernel32 = MSKERNEL32.VBS

HKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesWin32DLL = Win32DLL.VBS

Daher wird der Wurm jedes Mal neu aktiviert, wenn Windows hochfährt.

Der Wurm erstellt auch einen HTM-Dropper im Windows-Systemverzeichnis, um ihn bei der Verteilung auf mIRC-Kanäle zu verwenden (siehe unten). Diese Kopie hat folgenden Namen:

LIEBE-LETTER-FOR-YOU.TXT.HTM

Herunterladen einer Trojaner-Datei

Um das Trojaner-Programm auf dem System zu installieren, ändert der Wurm die URL zur Internet Explorer-Startseite. Die neue URL zeigt auf eine Website (die zufällig aus vier Varianten ausgewählt wurde) und zwingt Explorer, eine EXE-Datei von dort herunterzuladen. Diese Datei hat den Namen WIN-BUGSFIX.EXE und ist das Trojanerprogramm. Der Wurm registriert diese Datei dann in der Systemregistrierung in einem Abschnitt für die automatische Ausführung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunWIN-BUGSFIX = WIN-BUGSFIX.exe

Bei der nächsten Ausführung lädt Internet Exlorer den Trojaner herunter und speichert ihn im Download-Verzeichnis des Systems. Beim nächsten Windows-Start erhält der Trojaner die Kontrolle und kopiert sich mit dem Namen WINFAT32.EXE in das Windows-Systemverzeichnis.

Wenn der Trojaner in das System installiert wurde, setzt der Wurm die Startseite von Internet Explorer leer ("about: blank").

Die heruntergeladene und installierte Datei ist ein Kennwort stehlender Trojaner. Es erhält den lokalen Computernamen und die IP-Adresse, Netzwerk-Login (s) und -Passwort (e), RAS-Informationen usw. und sendet sie an den Trojaner-Host. Die analysierten Samples senden Nachrichten an "mailme@super.net.ph". Der Betreff der Nachricht sieht folgendermaßen aus:

Barok ... email.passwords.sender.trojan

Verbreitung auf IRC-Kanälen

Der Wurm scannt lokale Laufwerke und sucht nach Dateien:

MIRC32.EXE, MLINK32.EXE, MIRC.INI, SCRIPT.INI, MIRC.HLP

Falls mindestens eine dieser Dateien in einem Unterverzeichnis gefunden wird, löscht der Wurm eine neue SCRIPT.INI-Datei. Diese Datei enthält mIRC-Anweisungen, die eine Wurmkopie (die LOVE-LETTER-FOR-YOU.TXT.HTM-Datei) an alle Benutzer senden, die sich dem infizierten IRC-Kanal anschließen.

Die Datei SCRIPT.INI enthält die Kommentare:

mIRC-Skript
Bitte bearbeiten Sie dieses Skript nicht ... mIRC wird beschädigt, wenn mIRC dies tut
korrupt ... WINDOWS wirkt sich aus und wird nicht korrekt ausgeführt. Vielen Dank

Khaled Mardam-Bey
http://www.mirc.com

Wenn ein IRC-Benutzer dieses infizierte HTML empfängt, wird es in ein IRC-Download-Verzeichnis kopiert. Der Wurm wird dann nur dann aus dieser Datei aktiviert, wenn der Benutzer darauf klickt. Da die Sicherheitseinstellungen des Browsers Skripts nicht erlauben, auf Dateien zuzugreifen und eine Warnmeldung anzuzeigen, verwendet der Wurm einen Trick, um dies zu vermeiden. Zuerst zeigt es eine Nachricht an, um den Benutzer zu täuschen:

Diese HTML-Datei benötigt ActiveX Control
Aktivieren, um diese HTML-Datei zu lesen
- Bitte drücken Sie die 'YES' Taste, um ActiveX zu aktivieren

Falls der Benutzer wirklich auf "JA" klickt, erhält der Wurm Zugriff auf die Dateien und installiert sich selbst im System. Es löscht seinen VBS-Code in dem Windows-Systemverzeichnis mit dem Namen MSKERNEL32.VBS und registriert es in dem Windows-Abschnitt Auto-run in Systemregistrierung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunMSKernel32 = MSKERNEL32.VBS

Falls "NEIN" ausgewählt ist, fängt der Wurm die Mausbewegung und die Tastendruckereignisse ab und lädt sich dann neu. Als Ergebnis erhält ein Benutzer eine Warnmeldung in einer Endlosschleife, bis er 'JA' drückt.

Zerstörende Wirkung

Der Wurm durchsucht die Unterverzeichnisstrukturen auf allen verfügbaren lokalen und zugeordneten Laufwerken, listet alle Dateien dort auf und führt abhängig von der Dateinamenserweiterung Aktionen aus:

• VBS, VBE: Der Wurm überschreibt diese Dateien mit seinem VBS-Hauptteil. Als Ergebnis werden alle VBS- und VBE-Programme im System mit Wurmcode überschrieben.
• JS, JSE, CSS, WSH, SCT, HTA: Der Wurm erstellt eine neue Datei mit einem Original-Dateinamen plus ".VBS" Erweiterung und löscht die Originaldatei; dh der Wurm überschreibt diese Dateien mit seinem Code und benennt sie mit der VBS-Erweiterung um. Beispiel: "TEST.JS" bestätigt "TEST.VBS".
• JPG, JPEG: Der Wurm macht das gleiche wie oben, fügt aber dem vollständigen Dateinamen eine Erweiterung ".VBS" hinzu (wird nicht in ".VBS" umbenannt). Zum Beispiel wird "PIC1.JPG" zu "PIC1.JPG.VBS".
• MP2, MP3: Der Wurm erstellt eine neue Datei mit der Erweiterung ".VBS" (für "SONG.MP2" erstellt der Wurm die Datei "SONG.MP2.VBS"), schreibt seinen Code dorthin und setzt das Dateiattribut " versteckt "für die Originaldatei.

Andere Varianten

Der Wurm selbst ist ein Text-Skript-Programm, und es ist in Textform verbreitet. Der Code des Wurms kann leicht von Hackern verändert werden, und daher gibt es viele Varianten des ursprünglichen Wurms. Die meisten von ihnen sind nur geringfügige Remakes und unterscheiden sich nur im Detail vom ursprünglichen Wurm - es gibt Textfelder für Textfelder, verschiedene Dateinamen, unterschiedliche Sätze betroffener Disketten-Dateierweiterungen (z. B. .BAT und .INI).

Der Betreff, der Nachrichtentext und der Name der angehängten Datei in verschiedenen Varianten erscheinen wie folgt (der erste Block gehört zur ursprünglichen Wurm-Version):

 Betreff / Körper / Name anhängen ICH LIEBE DICH   Überprüfen Sie bitte den beigefügten LOVELETTER, der von mir kommt. LIEBE-LETTER-FOR-YOU.TXT.vbs Muttertag Bestellbestätigung   Wir haben Ihre Kreditkarte mit einem Betrag von 326,92 US-Dollar belastet   für den Muttertag Diamant Spezial. Wir haben eine detaillierte beigefügt   Rechnung an diese E-Mail senden. Bitte drucken Sie den Anhang aus und bewahren Sie ihn in einem   sicherer Ort. Danke wieder und haben einen glücklichen Muttertag!   mothersday@subdimension.com mütterstag.vbs fwd: Witz    - Kein Nachrichtentext in der Nachricht Sehr lustig.vbs Susitikim shi vakara kavos puodukui ...   Überprüfen Sie bitte den beigefügten LOVELETTER, der von mir kommt. LIEBE-LETTER-FOR-YOU.TXT.vbs Wichtig! Gründlich durchlesen !!   Überprüfen Sie die beigefügten WICHTIG von mir! WICHTIG.TXT.vbs Gefährliche Viruswarnung   Es ist ein gefährlicher Virus im Umlauf.   Bitte klicken Sie auf das angehängte Bild, um es anzuzeigen und zu lernen, es zu vermeiden. virus_warning.jpg.vbs So schützen Sie sich vor dem IL0VEY0U-Bug!   Hier ist der einfache Weg, den Liebesvirus zu reparieren. Virenschutz-Anweisungen.vbs Vielen Dank für das Fliegen mit Arab Airlines   Bitte überprüfen Sie, ob die Rechnung korrekt ist, indem Sie die angehängte Datei öffnen. ArabAir.TXT.vbs Bewerbung Kreolina   Sehr geehrte Damen und Herren! BEWERBUNG.TXT.vbs AUSSEHEN!   hehe ... schau es dir an. LOOK.vbs Variantentest   Dies ist eine Variante des VBS-Virus. WICHTIG.TXT.vbs Yeah, Yeah, ein anderes Mal zu DEATH ...   Dies ist der Killer für VBS.LOVE-LETTER.WORM. Vir-Killer.vbs Ich kann das nicht glauben !!!   Ich kann nicht glauben, dass ich gerade diese Hass-E-Mail erhalten habe. Werfen Sie einen Blick! KillEmAll.TXT.vbs Neue Variante auf LOVEBUG Update Anti-Virus !!   Es gibt jetzt eine neuere Variante von Love Bug. Es wurde bei veröffentlicht   20:37 Samstag Nacht. Bitte laden Sie den folgenden Patch herunter.   Wir versuchen den Virus zu isolieren. Danke, Symantec. Antivirusupdate.vbs WICHTIG: Offizieller Virus und Bugfix   Dies ist ein offizieller Virus- und Bugfix. Ich habe es von unserem Systemadministrator bekommen.   Es kann eine kurze Zeit dauern, bis Sie Ihre Systemdateien aktualisiert haben, nachdem Sie das Programm ausgeführt haben   Befestigung. Fehler und Virus fix.vbs Kürzliche Virusangriffe-Fix   Beigefügt ist eine Kopie eines Skripts, das den Effekt von   die LOVE-LETTER-TO-YOU.TXT.vbs sowie die FW: JOKE,   Muttertag und Lituanian Geschwister. BAND-AID.DOC.vbs PresenteUOL   O UOL tum um grande presente para voce, wie eh exclusivo.   Veja o arquivo em anexo.   http://www.uol.com.br UOL.TXT.vbs FEHLER & VIRUS FIX   Ich habe das von unserem Systemadministrator bekommen. Führen Sie dies aus, um die letzten oder letzten Schritte zu unterstützen   zukünftige Bug & Virus-Attacken. Es kann einige Zeit dauern, bis Sie Ihre Dateien aktualisiert haben. MAJOR BUG & VIRUS FIX.vbsKOSTENLOSE SEXSITE PASSWÖRTER   Hör zu ; FREE SEX PASSWORDS. KOSTENLOSE SEXSITE PASSWORDS.HTML.vbs Sie können $ 1.000.000 gewinnen! 1 Klicken Sie auf Abwesend   Überprüfen Sie bitte die beigefügten WIN von mir. WIN.vbs Viruswarnungen !!!   SEHR WICHTIG BITTE LESEN SIE DIESEN TEXT. TEXT BEFESTIGUNG. sehr wichtig-txt.vbs WIE WIRKEN VIREN   Überprüfen Sie bitte die beigefügten VIRUS INFORMATIONEN von mir.   So können Sie gegen jedes Virus immun sein. Es hilft wirklich viel! HOW_TO_BEAT_VIRUSES.TXT.vbsDu musst das lesen!   Hast du diesen Text gelesen? Du musst es tun!! C: NOTES.TXT.exeNeuer Virus entdeckt!   Ein neuer Virus wurde entdeckt! Sein Name ist @ - @ Alha und Omega @ - @.   Eine vollständige Liste der Virusfähigkeiten finden Sie in der angehängten Datei @ - @ info.txt @ - @.   Die letzten Informationen finden Sie auf der McAfee-Webseite   Bitte leiten Sie diese Nachricht an alle Interessierten weiter. info.txt.vbs Ich wünschte, du wärst hier!   Ich wünschte, du wärst hier! Ich habe eine tolle Zeit! Ich wünschte du wärst hier! .postcard.vbs

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com