Email-Worm.VBS.LoveLetter

Technische Details

Dies ist der Internetwurm, der die globale Epidemie Anfang Mai 2000 ausgelöst hat. Der Wurm verbreitet sich per E-Mail, indem er infizierte Nachrichten von betroffenen Computern sendet. Während der Verbreitung verwendet der Wurm MS Outlook und sendet sich an alle Adressen, die im MS Outlook Adressbuch gespeichert sind. Daher sendet ein infizierter Computer so viele Nachrichten an so viele Adressen, wie in der MS Outlook-Kontaktliste gespeichert sind.

Der Wurm ist in der Skriptsprache "Visual Basic Script" (VBS) geschrieben. Es funktioniert nur auf Computern, auf denen der Windows Scripting Host (WSH) installiert wurde. In Windows 98 und Windows 2000 wird WHS standardmäßig installiert. Um sich zu verbreiten, greift der Wurm auf MS Outlook zu und nutzt seine Funktionen und Adresslisten, die nur in Outlook 98/2000 verfügbar sind, so dass der Wurm sich nur verbreiten kann, wenn eine dieser MS Oulook-Versionen installiert ist.

Wenn er ausgeführt wird, sendet der Wurm seine Kopien per E-Mail, installiert sich selbst im System, führt destruktive Aktionen durch, lädt ein Trojaner-Programm herunter und installiert es. Der Wurm hat auch die Fähigkeit, sich durch die mIRC-Kanäle auszubreiten.

Der Wurm enthält "copyright" -Strings:

barok -loveletter (vbe) <ich hasse zur schule gehen>
von: spyder / ispyder@mail.com / @GRAMMERSoft Group / Manila, Philippinen

Verbreitung

Der Wurm kommt als E-Mail-Nachricht mit einer angehängten VBS-Datei, die der Wurm selbst ist, an einen Computer. Die Nachricht in der ursprünglichen Wurm-Version hat:

 Der Betreff: ILOVEYOU 

 Nachrichtentext: Bitte überprüfen Sie die beigefügten Loveletter von mir. 

 Angehängte Dateiname: LOVE-LETTER-FOR-YOU.TXT.vbs

Nach der Aktivierung durch einen Benutzer (durch Doppelklicken auf eine angehängte Datei) öffnet der Wurm MS Outlook, erhält Zugriff auf das Adressbuch, ruft alle Adressen von dort ab und sendet Nachrichten mit seiner angehängten Kopie an alle. Der Name des Nachrichtensubjekts, des Hauptteils und der angehängten Datei sind dieselben wie oben.

Der Wurm installiert sich auch selbst im System. Es erstellt seine Kopien in den Windows-Verzeichnissen mit den Namen:

 im Windows-Verzeichnis: WIN32DLL.VBS
 
 im Windows-Systemverzeichnis: MSKERNEL32.VBS, LOVE-LETTER-FOR-YOU.TXT.VBS

Diese Dateien werden dann in der Windows-Auto-Run-Sektion in der Systemregistrierung registriert:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunMSKernel32 = MSKERNEL32.VBS

HKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesWin32DLL = Win32DLL.VBS

Daher wird der Wurm jedes Mal neu aktiviert, wenn Windows hochfährt.

Der Wurm erstellt auch einen HTM-Dropper im Windows-Systemverzeichnis, um ihn bei der Verteilung auf mIRC-Kanäle zu verwenden (siehe unten). Diese Kopie hat folgenden Namen:

LIEBE-LETTER-FOR-YOU.TXT.HTM

Herunterladen einer Trojaner-Datei

Um das Trojaner-Programm auf dem System zu installieren, ändert der Wurm die URL zur Internet Explorer-Startseite. Die neue URL zeigt auf eine Website (die zufällig aus vier Varianten ausgewählt wurde) und zwingt Explorer, eine EXE-Datei von dort herunterzuladen. Diese Datei hat den Namen WIN-BUGSFIX.EXE und ist das Trojanerprogramm. Der Wurm registriert diese Datei dann in der Systemregistrierung in einem Abschnitt für die automatische Ausführung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunWIN-BUGSFIX = WIN-BUGSFIX.exe

Bei der nächsten Ausführung lädt Internet Exlorer den Trojaner herunter und speichert ihn im Download-Verzeichnis des Systems. Beim nächsten Windows-Start erhält der Trojaner die Kontrolle und kopiert sich mit dem Namen WINFAT32.EXE in das Windows-Systemverzeichnis.

Wenn der Trojaner in das System installiert wurde, setzt der Wurm die Startseite von Internet Explorer leer ("about: blank").

Die heruntergeladene und installierte Datei ist ein Kennwort stehlender Trojaner. Es erhält den lokalen Computernamen und die IP-Adresse, Netzwerk-Login (s) und -Passwort (e), RAS-Informationen usw. und sendet sie an den Trojaner-Host. Die analysierten Samples senden Nachrichten an "mailme@super.net.ph". Der Betreff der Nachricht sieht folgendermaßen aus:

Barok … email.passwords.sender.trojan

Verbreitung auf IRC-Kanälen

Der Wurm scannt lokale Laufwerke und sucht nach Dateien:

MIRC32.EXE, MLINK32.EXE, MIRC.INI, SCRIPT.INI, MIRC.HLP

Falls mindestens eine dieser Dateien in einem Unterverzeichnis gefunden wird, löscht der Wurm eine neue SCRIPT.INI-Datei. Diese Datei enthält mIRC-Anweisungen, die eine Wurmkopie (die LOVE-LETTER-FOR-YOU.TXT.HTM-Datei) an alle Benutzer senden, die sich dem infizierten IRC-Kanal anschließen.

Die Datei SCRIPT.INI enthält die Kommentare:

mIRC-Skript
Bitte bearbeiten Sie dieses Skript nicht … mIRC wird beschädigt, wenn mIRC dies tut
korrupt … WINDOWS wirkt sich aus und wird nicht korrekt ausgeführt. Vielen Dank

Khaled Mardam-Bey
http://www.mirc.com

Wenn ein IRC-Benutzer dieses infizierte HTML empfängt, wird es in ein IRC-Download-Verzeichnis kopiert. Der Wurm wird dann nur dann aus dieser Datei aktiviert, wenn der Benutzer darauf klickt. Da die Sicherheitseinstellungen des Browsers Skripts nicht erlauben, auf Dateien zuzugreifen und eine Warnmeldung anzuzeigen, verwendet der Wurm einen Trick, um dies zu vermeiden. Zuerst zeigt es eine Nachricht an, um den Benutzer zu täuschen:

Diese HTML-Datei benötigt ActiveX Control
Aktivieren, um diese HTML-Datei zu lesen
– Bitte drücken Sie die 'YES' Taste, um ActiveX zu aktivieren

Falls der Benutzer wirklich auf "JA" klickt, erhält der Wurm Zugriff auf die Dateien und installiert sich selbst im System. Es löscht seinen VBS-Code in dem Windows-Systemverzeichnis mit dem Namen MSKERNEL32.VBS und registriert es in dem Windows-Abschnitt Auto-run in Systemregistrierung:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunMSKernel32 = MSKERNEL32.VBS

Falls "NEIN" ausgewählt ist, fängt der Wurm die Mausbewegung und die Tastendruckereignisse ab und lädt sich dann neu. Als Ergebnis erhält ein Benutzer eine Warnmeldung in einer Endlosschleife, bis er 'JA' drückt.

Zerstörende Wirkung

Der Wurm durchsucht die Unterverzeichnisstrukturen auf allen verfügbaren lokalen und zugeordneten Laufwerken, listet alle Dateien dort auf und führt abhängig von der Dateinamenserweiterung Aktionen aus:

• VBS, VBE: Der Wurm überschreibt diese Dateien mit seinem VBS-Hauptteil. Als Ergebnis werden alle VBS- und VBE-Programme im System mit Wurmcode überschrieben.
• JS, JSE, CSS, WSH, SCT, HTA: Der Wurm erstellt eine neue Datei mit einem Original-Dateinamen plus ".VBS" Erweiterung und löscht die Originaldatei; dh der Wurm überschreibt diese Dateien mit seinem Code und benennt sie mit der VBS-Erweiterung um. Beispiel: "TEST.JS" bestätigt "TEST.VBS".
• JPG, JPEG: Der Wurm macht das gleiche wie oben, fügt aber dem vollständigen Dateinamen eine Erweiterung ".VBS" hinzu (wird nicht in ".VBS" umbenannt). Zum Beispiel wird "PIC1.JPG" zu "PIC1.JPG.VBS".
• MP2, MP3: Der Wurm erstellt eine neue Datei mit der Erweiterung ".VBS" (für "SONG.MP2" erstellt der Wurm die Datei "SONG.MP2.VBS"), schreibt seinen Code dorthin und setzt das Dateiattribut " versteckt "für die Originaldatei.

Andere Varianten

Der Wurm selbst ist ein Text-Skript-Programm, und es ist in Textform verbreitet. Der Code des Wurms kann leicht von Hackern verändert werden, und daher gibt es viele Varianten des ursprünglichen Wurms. Die meisten von ihnen sind nur geringfügige Remakes und unterscheiden sich nur im Detail vom ursprünglichen Wurm – es gibt Textfelder für Textfelder, verschiedene Dateinamen, unterschiedliche Sätze betroffener Disketten-Dateierweiterungen (z. B. .BAT und .INI).

Der Betreff, der Nachrichtentext und der Name der angehängten Datei in verschiedenen Varianten erscheinen wie folgt (der erste Block gehört zur ursprünglichen Wurm-Version):

 Betreff / Körper / Name anhängen

 ICH LIEBE DICH
   Überprüfen Sie bitte den beigefügten LOVELETTER, der von mir kommt.
 LIEBE-LETTER-FOR-YOU.TXT.vbs

 Muttertag Bestellbestätigung
   Wir haben Ihre Kreditkarte mit einem Betrag von 326,92 US-Dollar belastet
   für den Muttertag Diamant Spezial. Wir haben eine detaillierte beigefügt
   Rechnung an diese E-Mail senden. Bitte drucken Sie den Anhang aus und bewahren Sie ihn in einem
   sicherer Ort. Danke wieder und haben einen glücklichen Muttertag!
   mothersday@subdimension.com
 mütterstag.vbs

 fwd: Witz
    - Kein Nachrichtentext in der Nachricht
 Sehr lustig.vbs

 Susitikim shi vakara kavos puodukui ...
   Überprüfen Sie bitte den beigefügten LOVELETTER, der von mir kommt.
 LIEBE-LETTER-FOR-YOU.TXT.vbs

 Wichtig! Gründlich durchlesen !!
   Überprüfen Sie die beigefügten WICHTIG von mir!
 WICHTIG.TXT.vbs

 Gefährliche Viruswarnung
   Es ist ein gefährlicher Virus im Umlauf.
   Bitte klicken Sie auf das angehängte Bild, um es anzuzeigen und zu lernen, es zu vermeiden.
 virus_warning.jpg.vbs

 So schützen Sie sich vor dem IL0VEY0U-Bug!
   Hier ist der einfache Weg, den Liebesvirus zu reparieren.
 Virenschutz-Anweisungen.vbs

 Vielen Dank für das Fliegen mit Arab Airlines
   Bitte überprüfen Sie, ob die Rechnung korrekt ist, indem Sie die angehängte Datei öffnen.
 ArabAir.TXT.vbs

 Bewerbung Kreolina
   Sehr geehrte Damen und Herren!
 BEWERBUNG.TXT.vbs

 AUSSEHEN!
   hehe ... schau es dir an.
 LOOK.vbs

 Variantentest
   Dies ist eine Variante des VBS-Virus.
 WICHTIG.TXT.vbs

 Yeah, Yeah, ein anderes Mal zu DEATH ...
   Dies ist der Killer für VBS.LOVE-LETTER.WORM.
 Vir-Killer.vbs

 Ich kann das nicht glauben !!!
   Ich kann nicht glauben, dass ich gerade diese Hass-E-Mail erhalten habe. Werfen Sie einen Blick!
 KillEmAll.TXT.vbs

 Neue Variante auf LOVEBUG Update Anti-Virus !!
   Es gibt jetzt eine neuere Variante von Love Bug. Es wurde bei veröffentlicht
   20:37 Samstag Nacht. Bitte laden Sie den folgenden Patch herunter.
   Wir versuchen den Virus zu isolieren. Danke, Symantec.
 Antivirusupdate.vbs

 WICHTIG: Offizieller Virus und Bugfix
   Dies ist ein offizieller Virus- und Bugfix. Ich habe es von unserem Systemadministrator bekommen.
   Es kann eine kurze Zeit dauern, bis Sie Ihre Systemdateien aktualisiert haben, nachdem Sie das Programm ausgeführt haben
   Befestigung.
 Fehler und Virus fix.vbs

 Kürzliche Virusangriffe-Fix
   Beigefügt ist eine Kopie eines Skripts, das den Effekt von
   die LOVE-LETTER-TO-YOU.TXT.vbs sowie die FW: JOKE,
   Muttertag und Lituanian Geschwister.
 BAND-AID.DOC.vbs

 PresenteUOL
   O UOL tum um grande presente para voce, wie eh exclusivo.
   Veja o arquivo em anexo.
   http://www.uol.com.br
 UOL.TXT.vbs

 FEHLER & VIRUS FIX
   Ich habe das von unserem Systemadministrator bekommen. Führen Sie dies aus, um die letzten oder letzten Schritte zu unterstützen
   zukünftige Bug & Virus-Attacken. Es kann einige Zeit dauern, bis Sie Ihre Dateien aktualisiert haben.
 MAJOR BUG & VIRUS FIX.vbs
KOSTENLOSE SEXSITE PASSWÖRTER
   Hör zu ; FREE SEX PASSWORDS.
 KOSTENLOSE SEXSITE PASSWORDS.HTML.vbs

 Sie können $ 1.000.000 gewinnen! 1 Klicken Sie auf Abwesend
   Überprüfen Sie bitte die beigefügten WIN von mir.
 WIN.vbs

 Viruswarnungen !!!
   SEHR WICHTIG BITTE LESEN SIE DIESEN TEXT. TEXT BEFESTIGUNG.
 sehr wichtig-txt.vbs

 WIE WIRKEN VIREN
   Überprüfen Sie bitte die beigefügten VIRUS INFORMATIONEN von mir.
   So können Sie gegen jedes Virus immun sein. Es hilft wirklich viel!
 HOW_TO_BEAT_VIRUSES.TXT.vbs

Du musst das lesen!
   Hast du diesen Text gelesen? Du musst es tun!!
 C: NOTES.TXT.exe

Neuer Virus entdeckt!
   Ein neuer Virus wurde entdeckt! Sein Name ist @ - @ Alha und Omega @ - @.
   Eine vollständige Liste der Virusfähigkeiten finden Sie in der angehängten Datei @ - @ info.txt @ - @.
   Die letzten Informationen finden Sie auf der McAfee-Webseite
   Bitte leiten Sie diese Nachricht an alle Interessierten weiter.
 info.txt.vbs

 Ich wünschte, du wärst hier!
   Ich wünschte, du wärst hier! Ich habe eine tolle Zeit!
 Ich wünschte du wärst hier! .postcard.vbs