DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.Goner

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Virus-Wurm, der sich über das Internet an infizierte E-Mails anmeldet und sich über den Internet-Pager ICQ sendet. Es greift einen IRC-Kanal an, verwendet ein Trojaner-Skript und schützt sich vor Antiviren-Programmen.

Der Wurm selbst ist eine Windows PE EXE-Datei von etwa 38 KB Länge und in Visual Basic geschrieben. Es wird vom Programm UPX gepackt. Nach dem Auspacken ist es 148 KB groß.

Eine infizierte Nachricht enthält:

Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf eine angehängte Datei klickt. Dann installiert es sich selbst im System und führt seine Spreizroutine und Nutzlast aus. Es zeigt animierte Fenster mit folgendem Text an:

Dann zeigt es den folgenden Nachrichtendialog an:

Installation

Während der Installation kopiert sich der Wurm in das Windows-Systemverzeichnis mit dem Namen GONE.SCR und registriert diese Datei im System-Registrierungsschlüssel.

HKLMSoftwareMicrosoftWindowsCurrentVersionRun C: WINDOWSSYSTEMGONE.SCR = C: WINDOWSSYSTEMGONE.SCR

Danach versteckt der Wurm sein Hauptfenster und setzt seine Ausbreitung fort.

Verbreitung per E-Mail

Um infizierte Nachrichten zu senden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch.

{Goner3.bmp}

Verbreitung über ICQ

Der Wurm verbreitet sich über den ICQ-Client. Es verwendet die Bibliothek ICQMAPI.DLL, die der Wurm aus dem Verzeichnis C: PROGRAM FILESICQ in das Windows-Systemverzeichnis kopiert. Es reagiert auf das Client-Programm und sucht nach Dialogfenstern aus der Liste und beantwortet die Anfragen. Die Fensterlisten sind wie folgt:

Senden Sie eine Online-Datei
Senden Sie eine Online-Dateianfrage

Der Wurm sucht regelmäßig nach Fenstern und schließt sie. Die Titel der Fenster sind wie folgt:

Nutzer hat Ihre Anfrage abgelehnt
Dateianforderung kann nicht gesendet werden
Sende Online-Datei [Benutzer ist im N / A-Modus]
Sende eine Online-Datei [Der Benutzer ist weg]
Sende Online-Datei [Benutzer ist besetzt]
Sende Online-Datei [Benutzer ist im DND-Modus]
Nutzer hat Ihre Anfrage abgelehnt
Dateianforderung kann nicht gesendet werden
Online-Dateianforderung senden [Benutzer ist im Modus N / A]
Online-Dateianforderung senden [Benutzer ist abwesend]
Online-Dateianforderung senden [Benutzer ist besetzt]
Online-Dateianforderung senden [Benutzer befindet sich im DND-Modus]

Einen IRC-Kanal angreifen

Der Wurm scannt lokale Datenträgerverzeichnisse nach der Datei MIRC.INI, erstellt eine neue Datei REMOTE32.INI in diesem Verzeichnis und fügt sie der Datei MIRC.INI hinzu. Dieses Skript verbindet regelmäßig einen Benutzer mit zufälligem Namen mit dem IRC-Kanal #pentagonex auf dem Server twisted.ma.us.dal.net.

Schutz vor Anti-Virus-Programmen

Bei der Installation im Computersystem scannt der Wurm die laufenden Prozesse und überprüft deren Namen anhand der folgenden Liste:

FINET.EXE
APLICA32.EXE
ZONEALARM.EXE
ESAFE.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET32.EXE
PCFWallIcon.EXE
FRW.EXE
VSHWIN32.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
NAVAPW32.EXE
NAVW32.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
LOCKDOWN2000.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
TDS2-98.EXE
TDS2-NT.EXE
SAFEWEB.EXE
C: SAFEWEB

Der Wurm beendet diesen Prozess im Speicher und löscht die Datei von der Festplatte. Dann löscht es alle Dateien im Prozessverzeichnis mit Dateien in Unterverzeichnissen. Der Wurm sucht nach verbleibenden Dateien und richtet das Entfernen nach dem Neustart des Computers ein. Es fügt Löschbefehle in die Datei WININIT.INI ein


Link zum Original