DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.Ligon

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Win32-E-Mail-Wurm. Der Wurm besteht aus zwei Komponenten:

  • Main: Eine Win32-Anwendung (PE EXE-Datei), die ungefähr 360 KB groß ist und in Delphi geschrieben wurde.
  • Helfer: ein VBS-Skriptprogramm, das den Wurm über ein lokales Netzwerk verbreiten möchte.

    Die Hauptwurmkomponente sendet sich selbst an andere Maschinen, die an E-Mails angehängt sind, als eine EXE-Datei, die 16 verschiedene Namen haben kann (siehe unten). Während der Verbreitung verwendet es MAPI, um eine Verbindung zu einem E-Mailer herzustellen.

    Die Hauptkomponente legt außerdem einen zusätzlichen VBS-Skripthelfer (lokaler Netzwerkwurm) auf einen lokalen Datenträger und erstellt ihn.

    Hauptbestandteil

    Beim Start einer infizierten Datei (die von einem Benutzer aus einer infizierten Nachricht oder aus einer anderen Quelle aktiviert wird) kopiert sich der Wurm mit "PCpower.exe" in das Windows-Verzeichnis und mit dem Namen "MyLinong.exe" in das Windows-Systemverzeichnis . Der Wurm löscht dann die Datei "MyLinong.VBS" (VBS-Helfer) in das Windows-Systemverzeichnis.

    Diese Dateien werden dann in den automatisch ausgeführten Schlüsseln der Systemregistrierungsdatenbank registriert:

    HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
    PCPower =% windir% PCpower.exe
    MyLinong =% winsystemdir% MyLinong.exe
    Linong =% winsystemdir% MyLinong.vbs

    Die EXE-Dateien sind zwei Wurmkopien und werden bei jedem Neustart von Windows aktiviert. Die VBS-Datei ist ein VisualBasic-Skriptprogramm (siehe unten).

    Verbreitung

    Zur Verbreitung scannt der Wurm den Posteingang nach den ersten 50 Nachrichten, erhält Nachrichten mit mindestens einer angehängten Datei und antwortet mit einer infizierten Nachricht. Die infizierte Nachricht enthält eine Subject-, eine Body- und eine Attached-Datei, die zufällig aus 16 Varianten ausgewählt wird:

    Angehängte Dateinamen:

    CFusion.Exe
    PatchFusion.exe
    MyLinong.Exe
    Zünde die Nacht an.exe
    StarMild.exe
    Kuss.Exe
    Sexy.Exe
    Popeye.exe
    Olive.exe
    BullBull.exe
    Moly.exe
    Schöne.exe
    868879.exe
    Hilfe.exe
    Bill Gates
    Mikropos

    Fächer:

    Info von CFusion
    Patchen Sie Ihre CFusion
    Erinnere dich immer noch
    Erhelle die Nacht
    Mann Wahl
    Küss mich
    Sexy Modell
    Popeye-Karikatur
    Olive und Popeye
    MyGirlFriend Hunde
    Meine Freundin, Hunde
    Süß und lieblich
    Passwort
    Brauche Hilfe
    Rechnung
    Mikropos

    Nachrichtentexte:

    Sie können Ihre Cfusion Online kostenlos aktualisieren
    Sind Sie bereit, reparieren Sie Ihre Cfusion, bitte aktualisieren Sie
    Sie ist MEINE sexy Linong
    Leuchten Sie die Nacht PARTY …
    Bist du Mann oder Frau? Dies ist der Sponsor von unserer Website Die Wahl des Mannes
    100 Weg, um deinen GirlFriend oder deinen Freund zu küssen
    Hast du jemals die sexy Mädchen wie sie gesehen?
    Das neue Popeye New Cartoon NetWork
    Olive und Popeye Cartoon
    Schöner Hund…
    Guter Hund und intelligente Hunde
    Mein Icq-Freund Süß und Lieblich
    Hier Die Liste der Nude Passwort Website. Alle von ihnen immer noch aktiv, und wenige von ihnen sind Tod Passwort
    Brauchst du Hilfe ? um Geld über das Internet zu bekommen. Sie können die Hilfe lesen
    Rechnung..
    Die neue Mikropos Software aus dem Mikropos Netzwerk

    Nutzlast

    Der Wurm erstellt die folgenden Verzeichnisse:

    "C: Linong ich liebe U so viel Linong für immer meine Liebe% n"

    Dabei sind% n Zahlen von 0 bis 500 (in einigen Fällen erstellt der Wurm keine Verzeichnisse, sodass die Obergrenze der Verzeichnisnummer unter 500 liegen kann).

    Der Wurm zeigt die folgenden Nachrichten an:

  • am 25. Juni:

    Nachricht von mir
    Alles Gute zum Geburtstag MyLinong
    Noch an mich erinnern…

  • am 22. Juli:

    Heute will ich es dir noch einmal sagen
    Ich LIEBE U SO VIEL LINONG
    Hey Benutzer, bitte hilf mir der Welt zu erzählen
    Dass ich sie so sehr liebe

  • am 14. November:

    Hi..Nong..Ich liebe dich so sehr.
    Aber heute müssen wir GoodBye für immer sagen
    Ich warte im nächsten Leben und erinnere mich, dass ich dich so sehr liebe

    VBS-Helfer

    Dies ist eine Modifikation des VBS-E-Mail-Wurms "I-Worm.Linong" und dient als Hilfsprogramm für die Haupt-EXE-Komponente.

    Wenn es von Windows ausgeführt wird (da es in der Registrierung Run = Schlüssel registriert ist), erhält es die IP-Adresse des lokalen Computers und scannt dann das Subnetz (z. B. wenn die IP-Adresse des lokalen Rechners 10.10.10.1 lautet Wurm wird versuchen, eine Verbindung zu allen Maschinen herzustellen, indem er Adressen 10.10.10.n verwendet, wobei 'n' eine Zahl von 1 bis 254 ist.

    Falls es Maschinen mit solchen Adressen gibt, versucht der Wurm, auf seine C: Laufwerke zuzugreifen und sich dort in die folgenden Verzeichnisse zu kopieren:

    "C:"
    "C: windowsstartm ~ 1programsstart"
    "C: Fenster"
    "C: windowsstart menuprogramsstartup"

    (Es gibt einen Fehler in dieser Routine, und der Wurm führt dies nicht aus).

    Der Wurm versucht dann, seine EXE-Komponente von den infizierten Computern zu senden, wobei die Nachrichten Folgendes enthalten:

    Betreff: Eins dieser Mail
    Körper: Wahre Geschichte ….
    Anhängen : mylinong.exe

    (Diese Routine hat auch einen Fehler, und der Wurm verbreitet sich nicht).

    Der Wurm führt dann, wie auch "I-Worm.Linong", folgendes aus:

  • erstellt 600 leere Verzeichnisse LIN: LINONG ICH LIEBE DICH MEINEN ORDNER% n (wobei% n eine Zahl von 1 bis 600 ist)
  • erstellt seine Kopien mit den folgenden Namen:

    % Windows% mylinong.txt.shs
    % Windows% SYSTEMKern32Lin.vbs
    % Windows% Vbrun32DLL.vbs
    % Windows% SYSTEMmylinong.TXT.vbs

  • und registriert eine nicht vorhandene Datei in der Systemregistrierung:

    HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices Vbrun32DLL =% windows% Win32DLL.vbs

    Der Wurm erstellt dann eine HTA-Datei und öffnet sie, wodurch der Text angezeigt wird:

    Ich liebe dich
    Linong
    Du bist die Liebe meiner Liebe, 5173n1n3ty31gh7
    Fast ein Jahr .., Miss U
    01 * 29 ** 879
    01 * 29 ** 868
    * – *


  • Link zum Original