DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.3DStars

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Internet-Wurm, der sich per E-Mail als angehängte EXE-Datei verbreitet. Der Wurm selbst ist eine ausführbare Win32-Datei mit einer Länge von ungefähr 70 KB, die in VisualBasic geschrieben ist. Der Wurm hat viele Fehler und funktioniert in vielen Fällen (in allen Fällen in jeder Umgebung?) Nicht ordnungsgemäß: Die Wurmdatei ist nicht an ausgehende Nachrichten angehängt und der Nachrichtentext unterscheidet sich von dem, was der Wurm beabsichtigt.

Um sich von einem betroffenen Computer zu verbreiten, verwendet der Wurm MS Outlook, erhält Adressen aus dem MS Outlook-Adressbuch sowie aus dem Windows-Adressbuch und sendet dort Nachrichten. Der Wurm sendet auch jedes Mal, wenn die Verteilungsroutine ausgeführt wird, eine infizierte Nachricht an vb.master@angelfire.com.

Die Nachricht Subject und Body sollte wie folgt aussehen (nicht wegen eines Fehlers im Wurm-Code). Das [% CurrentDate%] ist hier das aktuelle Datum.

Gegenstand:
Nachrichtentext:

Hey, jetzt können wir damit reden .. 🙂
Hallo
Ich habe einen neuen Boten geschrieben, damit wir damit reden können.
Installieren Sie den selbstausziehbaren Reißverschluss angebracht

Meine Filmausschnitte ..
Hiii
Ich habe eine Webcam und ich habe ein paar Filme von mir aufgenommen.
Extrahiere das beigefügte selbst extrahierbare, um sie zu sehen.
Ein kleines freches Zeug ..
Hallo..
Ich habe ein paar tolle, erotische Filmclips in der selbst extrahierbaren aufgenommen

Ich habe diese MP3s gestern heruntergeladen.
Hallo..
Hey, sie sind wirklich großartig .. Extrahieren Sie den selbst extrahierbaren Reißverschluss, um sie zu sehen ..

Nur ein bisschen freche Sachen von mir ..
Hehehe ..
Sieh dir den Kuchen an, den ich für dich vorbereitet habe … tschüß 4, jetzt Kumpel ..

Virus Warnung..
Hey, pass auf ..
Leiten Sie diese Mail an alle weiter, die Sie kennen. Heute, [% CurrentDate%] FBI
angekündigt, dass ein ernsthafter Virus sich ausbreitet. Es ist eine Datei mit einem .VBS
Erweiterung, ähnlich wie Love Bug. Siehe den Zip dafür

Ein Geschäftsproblem ..
Herr,
Meine Firma interessiert sich für die Möglichkeiten, ein neues zu schaffen
Partnerschaft mit dir. Die Präsentation ist beigefügt, bitte sehen Sie es und antworten Sie bald.

Impressum..
Herr / Frau
Wir sind von unserem Kunden gezwungen, Ihnen eine rechtliche Mitteilung zukommen zu lassen
[%Aktuelles Datum%]. Bitte beachten Sie die beigefügten Details und antworten Sie so schnell wie möglich

Grußkarte 4 Sie ..
Grüsseeins ..
Hoffe, dir geht es gut. Siehe die beigefügten ECard 4 ..

Wenn die EXE-Datei des Wurms aus der Anlage ausgeführt wird, kopiert sie sich mit SysTray.exe und SysCheck.exe als Namen in die Windows- und Windows-Systemverzeichnisse und registriert diese Dateien im Abschnitt Automatische Ausführung der Windows-Registrierung:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SystemTray =% WindowsDir% SysTray.exe

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SystemCheck =% Systemverz% SysCheck.exe

Hinweis: Das Original SYSTRAY.EXE befindet sich im Windows-Systemverzeichnis, nicht im Windows-Verzeichnis, wie es der Wurm tut.

Um seine Aktivität zu verbergen, zeigt der Wurm die folgende Nachricht an:

Microsoft Windows
Die Anwendung% ApplicationName% verursachte einen allgemeinen Schutzfehler in
Modul Kernel.exe, und es wird beendet. Drücken Sie OK, um fortzufahren
[ OK ]

Dabei steht% ApplicationName% für den Dateinamen des Wurms.

Am 4. eines jeden Monats überschreibt der Wurm bei Ausführung vor 5:00 Uhr die Datei C: AUTOEXEC.BAT mit einem Trojaner, der alle Dateien in den Verzeichnissen "C: Eigene Dateien" und * .DLL in den C: Windows-Verzeichnissen löscht . Der Trojaner-Code zeigt außerdem die folgenden Nachrichten an:

Bitte warten Sie während der Installation der Update-Dateien. Das kann ein paar minuten dauern..
Jetzt Windows laden ..

Der Wurm hat auch eine Backdoor-Komponente, die betroffene Computer für einen entfernten Hacker "öffnet". Die Hintertürroutine erlaubt:

Berichte Laufwerke in Systemen, Verzeichnissen und Dateien auf Laufwerken
Lesen, Schreiben, Kopieren, Löschen einer Datei
ändern, erstellen, entfernen Sie ein Verzeichnis
Lese, schreibe Registrierungsschlüssel
Senden Sie eine E-Mail an eine angegebene Adresse
führe eine Datei aus
forse Windows zu beenden

Der Wurmcode enthält den Text "3DStars Server" und gibt dem Namen des Wurms seinen Namen.


Link zum Original