English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.
Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.
Email-Worm.Win32.Ligon
| Kategorie | Email-Worm |
| Plattform | Win32 |
| Beschreibung |
Technische DetailsDies ist ein Win32-E-Mail-Wurm. Der Wurm besteht aus zwei Komponenten: Die Hauptwurmkomponente sendet sich selbst an andere Maschinen, die an E-Mails angehängt sind, als eine EXE-Datei, die 16 verschiedene Namen haben kann (siehe unten). Während der Verbreitung verwendet es MAPI, um eine Verbindung zu einem E-Mailer herzustellen. Die Hauptkomponente legt außerdem einen zusätzlichen VBS-Skripthelfer (lokaler Netzwerkwurm) auf einen lokalen Datenträger und erstellt ihn. HauptbestandteilBeim Start einer infizierten Datei (die von einem Benutzer aus einer infizierten Nachricht oder aus einer anderen Quelle aktiviert wird) kopiert sich der Wurm mit "PCpower.exe" in das Windows-Verzeichnis und mit dem Namen "MyLinong.exe" in das Windows-Systemverzeichnis . Der Wurm löscht dann die Datei "MyLinong.VBS" (VBS-Helfer) in das Windows-Systemverzeichnis. Diese Dateien werden dann in den automatisch ausgeführten Schlüsseln der Systemregistrierungsdatenbank registriert:
Die EXE-Dateien sind zwei Wurmkopien und werden bei jedem Neustart von Windows aktiviert. Die VBS-Datei ist ein VisualBasic-Skriptprogramm (siehe unten). VerbreitungZur Verbreitung scannt der Wurm den Posteingang nach den ersten 50 Nachrichten, erhält Nachrichten mit mindestens einer angehängten Datei und antwortet mit einer infizierten Nachricht. Die infizierte Nachricht enthält eine Subject-, eine Body- und eine Attached-Datei, die zufällig aus 16 Varianten ausgewählt wird: Angehängte Dateinamen:
Fächer:
Nachrichtentexte:
NutzlastDer Wurm erstellt die folgenden Verzeichnisse:
Dabei sind% n Zahlen von 0 bis 500 (in einigen Fällen erstellt der Wurm keine Verzeichnisse, sodass die Obergrenze der Verzeichnisnummer unter 500 liegen kann). Der Wurm zeigt die folgenden Nachrichten an:
VBS-HelferDies ist eine Modifikation des VBS-E-Mail-Wurms "I-Worm.Linong" und dient als Hilfsprogramm für die Haupt-EXE-Komponente. Wenn es von Windows ausgeführt wird (da es in der Registrierung Run = Schlüssel registriert ist), erhält es die IP-Adresse des lokalen Computers und scannt dann das Subnetz (z. B. wenn die IP-Adresse des lokalen Rechners 10.10.10.1 lautet Wurm wird versuchen, eine Verbindung zu allen Maschinen herzustellen, indem er Adressen 10.10.10.n verwendet, wobei 'n' eine Zahl von 1 bis 254 ist. Falls es Maschinen mit solchen Adressen gibt, versucht der Wurm, auf seine C: Laufwerke zuzugreifen und sich dort in die folgenden Verzeichnisse zu kopieren:
(Es gibt einen Fehler in dieser Routine, und der Wurm führt dies nicht aus). Der Wurm versucht dann, seine EXE-Komponente von den infizierten Computern zu senden, wobei die Nachrichten Folgendes enthalten:
(Diese Routine hat auch einen Fehler, und der Wurm verbreitet sich nicht). Der Wurm führt dann, wie auch "I-Worm.Linong", folgendes aus:
Der Wurm erstellt dann eine HTA-Datei und öffnet sie, wodurch der Text angezeigt wird:
|
Link zum Original |
|