Email-Worm.Win32.Goner

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Email-Worm

E-Mail-Würmer verbreiten sich per E-Mail. Der Wurm sendet eine Kopie von sich selbst als Anhang an eine E-Mail-Nachricht oder einen Link zu seiner Datei auf einer Netzwerkressource (z. B. eine URL zu einer infizierten Datei auf einer kompromittierten Website oder einer Hacker-eigenen Website).

Im ersten Fall wird der Wurmcode aktiviert, wenn der infizierte Anhang geöffnet (gestartet) wird. Im zweiten Fall wird der Code aktiviert, wenn der Link zur infizierten Datei geöffnet wird. In beiden Fällen ist das Ergebnis dasselbe: Der Wurmcode ist aktiviert.

Email-Würmer verwenden eine Reihe von Methoden, um infizierte E-Mails zu versenden. Die häufigsten sind:

Verwenden einer direkten Verbindung zu einem SMTP-Server mithilfe des E-Mail-Verzeichnisses, das in den Code des Wurms integriert ist
Verwenden von MS Outlook-Diensten
Verwenden von Windows MAPI-Funktionen.
Email-Würmer verwenden eine Reihe verschiedener Quellen, um E-Mail-Adressen zu finden, an die infizierte E-Mails gesendet werden:

das Adressbuch in MS Outlook
eine WAB-Adressdatenbank
.txt-Dateien, die auf der Festplatte gespeichert sind: Der Wurm kann feststellen, welche Zeichenfolgen in Textdateien E-Mail-Adressen sind
E-Mails im Posteingang (einige E-Mail-Würmer "antworten" sogar auf E-Mails im Posteingang)
Viele E-Mail-Würmer verwenden mehr als eine der oben aufgeführten Quellen. Es gibt auch andere Quellen für E-Mail-Adressen, z. B. Adressbücher für webbasierte E-Mail-Dienste.


Mehr Informationen

Plattform: Win32

Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.

Beschreibung

Technische Details

Dies ist ein Virus-Wurm, der sich über das Internet an infizierte E-Mails anmeldet und sich über den Internet-Pager ICQ sendet. Es greift einen IRC-Kanal an, verwendet ein Trojaner-Skript und schützt sich vor Antiviren-Programmen.

Der Wurm selbst ist eine Windows PE EXE-Datei von etwa 38 KB Länge und in Visual Basic geschrieben. Es wird vom Programm UPX gepackt. Nach dem Auspacken ist es 148 KB groß.

Eine infizierte Nachricht enthält:

Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf eine angehängte Datei klickt. Dann installiert es sich selbst im System und führt seine Spreizroutine und Nutzlast aus. Es zeigt animierte Fenster mit folgendem Text an:

Dann zeigt es den folgenden Nachrichtendialog an:

Installation

Während der Installation kopiert sich der Wurm in das Windows-Systemverzeichnis mit dem Namen GONE.SCR und registriert diese Datei im System-Registrierungsschlüssel.

HKLMSoftwareMicrosoftWindowsCurrentVersionRun C: WINDOWSSYSTEMGONE.SCR = C: WINDOWSSYSTEMGONE.SCR

Danach versteckt der Wurm sein Hauptfenster und setzt seine Ausbreitung fort.

Verbreitung per E-Mail

Um infizierte Nachrichten zu senden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch.

{Goner3.bmp}

Verbreitung über ICQ

Der Wurm verbreitet sich über den ICQ-Client. Es verwendet die Bibliothek ICQMAPI.DLL, die der Wurm aus dem Verzeichnis C: PROGRAM FILESICQ in das Windows-Systemverzeichnis kopiert. Es reagiert auf das Client-Programm und sucht nach Dialogfenstern aus der Liste und beantwortet die Anfragen. Die Fensterlisten sind wie folgt:

Senden Sie eine Online-Datei
Senden Sie eine Online-Dateianfrage

Der Wurm sucht regelmäßig nach Fenstern und schließt sie. Die Titel der Fenster sind wie folgt:

Nutzer hat Ihre Anfrage abgelehnt
Dateianforderung kann nicht gesendet werden
Sende Online-Datei [Benutzer ist im N / A-Modus]
Sende eine Online-Datei [Der Benutzer ist weg]
Sende Online-Datei [Benutzer ist besetzt]
Sende Online-Datei [Benutzer ist im DND-Modus]
Nutzer hat Ihre Anfrage abgelehnt
Dateianforderung kann nicht gesendet werden
Online-Dateianforderung senden [Benutzer ist im Modus N / A]
Online-Dateianforderung senden [Benutzer ist abwesend]
Online-Dateianforderung senden [Benutzer ist besetzt]
Online-Dateianforderung senden [Benutzer befindet sich im DND-Modus]

Einen IRC-Kanal angreifen

Der Wurm scannt lokale Datenträgerverzeichnisse nach der Datei MIRC.INI, erstellt eine neue Datei REMOTE32.INI in diesem Verzeichnis und fügt sie der Datei MIRC.INI hinzu. Dieses Skript verbindet regelmäßig einen Benutzer mit zufälligem Namen mit dem IRC-Kanal #pentagonex auf dem Server twisted.ma.us.dal.net.

Schutz vor Anti-Virus-Programmen

Bei der Installation im Computersystem scannt der Wurm die laufenden Prozesse und überprüft deren Namen anhand der folgenden Liste:

FINET.EXE
APLICA32.EXE
ZONEALARM.EXE
ESAFE.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET32.EXE
PCFWallIcon.EXE
FRW.EXE
VSHWIN32.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
NAVAPW32.EXE
NAVW32.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
LOCKDOWN2000.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
TDS2-98.EXE
TDS2-NT.EXE
SAFEWEB.EXE
C: SAFEWEB

Der Wurm beendet diesen Prozess im Speicher und löscht die Datei von der Festplatte. Dann löscht es alle Dateien im Prozessverzeichnis mit Dateien in Unterverzeichnissen. Der Wurm sucht nach verbleibenden Dateien und richtet das Entfernen nach dem Neustart des Computers ein. Es fügt Löschbefehle in die Datei WININIT.INI ein

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com