DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.MTX

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Virus-Wurm, der sich unter Win32-Systemen verbreitet. Der Virus infiziert ausführbare Win32-Dateien, versucht, E-Mail-Nachrichten mit infizierten angehängten Dateien zu senden, und installiert eine Backdoor-Komponente zum Herunterladen und Erstellen von "Plugins" auf einem betroffenen System. Der Wurm verursachte eine weltweite Epidemie von September bis Oktober 2000.

Das Virus hat eine ungewöhnliche Struktur. Es besteht aus drei verschiedenen Komponenten, die als eigenständige Programme ausgeführt werden (Virus, E-Mail-Wurm und Backdoor). Der Virus ist die Hauptkomponente und hält die Wurm- und Backdoor-Programme in seinem Code in komprimierter Form. Während das System infiziert wird, extrahiert und erzeugt das Virus sie:

Virus-Struktur

 � =============== -
  � Der Virus � -> installiert Wurm und Backdoor im System,
  � Installation � findet und infiziert anschließend ausführbare Win32-Dateien
  � und Infektion � 
  � Routinen � 
  � --------------- � 
  � Worm code � -> wird in die Datei extrahiert und als eigenständiges Programm ausgeführt
  � (komprimiert) � 
  � --------------- � 
  � Backdoor-Code � -> wird in die Datei extrahiert und als eigenständiges Programm ausgeführt
  � (komprimiert) � 
 L ============= -

Infizierte EXE-Datei

  � =============== -
  � Dateicode � 
  � und Daten � 
  � � 
  � =============== � 
  � Virencode: � 
  � --------------- � 
  �� Installation�� 
  ��und Infektion�� 
  � + ------------- + � 
  �� Wurm �� 
  � + ------------- + � 
  �� Hintertür �� 
  �L -------------- � 
 L ============= -

Der Wurm-Code enthält nicht alle notwendigen Routinen, um das System zu infizieren. Er wird als Attach in einer infizierten E-Mail-Nachricht gesendet (siehe unten). Der Wurm benötigt "Hilfe" von der Virus-Komponente und wird als infiziert durch den Virus gesendet (die Wurm-Datei wird vom Virus als gewöhnliche Datei infiziert und dann gesendet). Der Grund für eine solche Methode ist unklar, aber wahrscheinlich wurden die Komponenten von verschiedenen Personen geschrieben.

Die Virus-Komponente enthält die Textstrings:

SABI�.b ViRuS
Software zur Verfügung gestellt von [MATRiX] VX TeAm: Ultras, Mort, NBK, LOrd DArk, Del_Armg0, Anaktos
Greetz: Alle VX-Typen in #virus und Vecna ​​helfen uns
Besuch uns in:
http://www.coderz.net/matrix

Die Wurmkomponente enthält die Textstrings:

Software zur Verfügung gestellt von [MATRiX] VX-Team:
Ultras, Mort, Nbk, LOrd DArk, Del_Armg0, Anaktos
Greetz:
Alle VX-Typ auf # Virus-Kanal und Vecna
Besuchen Sie uns: www.coderz.net/matrix

Die Hintertür enthält den Text:

Software vom [MATRiX] Team:
Ultras, Mort, Nbk, LOrd DArk, Del_Armg0, Anaktos
Greetz:
Vecna ​​4 Quellcodes und Ideen

Die Viruskomponente

Der Virus verwendet die "Entry Point Obscuring" -Technologie, während er eine Datei infiziert. Das bedeutet, dass der Virus die Datei nicht an seinem Eingangscode beeinflusst, sondern einen "Jump Virus" -Befehl irgendwo in der Mitte des Dateicode-Abschnitts platziert, um Erkennungs- und Desinfektionsverfahren komplexer zu machen. Daher wird der Virus nur aktiviert, wenn der Zweig eines entsprechenden betroffenen Programms die Kontrolle erhält.

Der Virus ist auch verschlüsselt, also entschlüsselt er sich zuerst, wenn sein Code die Kontrolle erlangt. Der Virus sucht dann nach den erforderlichen Win32-API-Funktionen, indem er den Win32-Kernel scannt. Um dies zu tun, versucht der Virus die Adressen Win9x, WinNT und Win2000.

Der Virus sucht dann nach Antivirenprogrammen, die im System aktiv sind, und beendet das Programm, falls einer von ihnen entdeckt wird. Die Liste der Antivirenprogramme, denen das Virus Aufmerksamkeit schenkt, sieht folgendermaßen aus:

AntiViral Toolkit Pro
AVP-Monitor
Vsstat
Webscanx
Avconsol
McAfee VirusScan
Vshwin32
Zentral ist McAfee VirusScan

Als nächstes installiert der Virus seine Komponenten auf dem System. Sie werden dekomprimiert in das Windows-Verzeichnis installiert und anschließend erzeugt. Es sind drei Dateien erstellt worden, und sie haben einen versteckten Attributsatz und die folgenden Namen:

IE_PACK.EXE – reiner Wurmcode
WIN32.DLL – Wurmcode, der vom Virus infiziert ist (oben als "Infizierte Datei")
MTX_.EXE – Backdoor-Code

Der Virus infiziert anschließend ausführbare PEEXE-Dateien von Win32 in aktuellen, temporären und Windows-Verzeichnissen und wird anschließend beendet.

Wurm

Um infizierte Nachrichten zu versenden, verwendet der Wurm Technologien, die zum ersten Mal im Internet-Wurm "Happy" (aka Happy99, aka SKA) gefunden wurden.

Der Wurm wirkt sich auf die WSOCK32.DLL-Datei im Windows-Systemverzeichnis aus, indem eine Komponente des Codes an das Ende der Datei angehängt und die WSOCK32.DLL-Routine "send" angehängt wird. Der Wurm überwacht daraufhin alle Daten, die von einem betroffenen Computer an das Internet gesendet werden.

Normalerweise wird die WSOCK32.DLL-Datei in dem Moment verwendet, in dem der Wurm startet und zum Schreiben gesperrt ist. Um dies zu vermeiden, verwendet der Wurm eine Standardmethode: Er erstellt eine Kopie der ursprünglichen WSOCK32.DLL mit einem WSOCK32.MTX-Namen, wirkt sich auf diese Kopie aus und schreibt dann "Ersetze ursprüngliche Datei mit infiziert" in die WININIT.INI-Datei:

NUL = C: WINDOWSSYSTEMWSOCK32.DLL
C: WINDOWSSYSTEMWSOCK32.DLL = D: WINDOWSSYSTEMWSOCK32.MTX

Dabei steht "C: WINDOWSSYSTEM" für den Namen des Windows-Systemverzeichnisses und kann abhängig vom Namen des installierten Windows-Verzeichnisses abweichen.

Beim nächsten Neustart ersetzt der infizierte WSOCK32 den ursprünglichen und der Wurm erhält Zugriff auf Daten, die vom infizierten Rechner gesendet werden. Der Wurm achtet auf besuchte Internetseiten (Web, ftp) sowie auf E-Mail-Nachrichten, die von einem Computer gesendet werden.

Das sehr sichtbare Verhalten des Virus beruht auf der Tatsache, dass es die Möglichkeit des Besuchs mehrerer Internet-Sites verhindert und das Senden von Nachrichten an dieselben Domains verhindert (sie sind Anti-Virus-Domainnamen). Der Virus erkennt sie anhand von Kombinationen aus vier Buchstaben, die wie folgt aussehen:

Nii.
Nai.
avp.
f-se
Mapl
pand
Soph
ndmi
eine Gebühr
Yenn
Lywa
tbav
Yman

Der Wurm erlaubt auch nicht das Senden von E-Mail-Nachrichten an diese Domänen:

wildlist.o *
il.esafe.c *
Perfektes *
complex.is *
HiServ.com *
hiserv.com *
metro.ch *
beyond.com *
Mcafee.com *
Pandasoftw *
Erdverbindung
inexar.com *
komkom.co. *
meditrade. *
mabex.com *
cellco.com *
symantec.c *
erfolgreich*
inframp.n *
newell.com *
singnet.co *
bmcd.com.a *
bca.com.nz *
Trend Micro*
sophos.com *
maple.com. *
netsales.n *
f-sicher.c *

Der Wurm fängt auch E-Mail-Nachrichten ab, die gesendet werden, und versucht, eine doppelte Nachricht mit einem infizierten Anhang an die gleiche Adresse zu senden (dasselbe wie der Wurm "Happy"). Als Ergebnis sollte eine Opferadresse zwei Nachrichten erhalten: erstens ist die ursprüngliche Nachricht, die von einem Absender geschrieben wurde; zweitens kommt eine Nachricht mit einem leeren Betreff und Text und einer angehängten Datei, die einen der Namen hat, die vom Wurm abhängig vom aktuellen Datum ausgewählt werden:

README.TXT.pif
I_wanna_see_YOU.TXT.pif
MATRiX_Screen_Saver.SCR
LOVE_LETTER_FOR_YOU.TXT.pif
NEW_playboy_Screen_saver.SCR
BILL_GATES_PIECE.JPG.pif
TIAZINHA.JPG.pif
FEITICEIRA_NUA.JPG.pif
Geocities_Free_sites.TXT.pif
NEW_NAPSTER_site.TXT.pif
METALLICA_SONG.MP3.pif
ANTI_CIH.EXE
INTERNET_SECURITY_FORUM.DOC.pif
ALANIS_Screen_Saver.SCR
READER_DIGEST_LETTER.TXT.pif
WIN_ $ 100_NOW.DOC.pif
IS_LINUX_GOOD_ENOUGH! .TXT.pif
QI_TEST.EXE
AVP_Updates.EXE
SEICHO-NO-IE.EXE
YOU_are_FAT! .TXT.pif
FREE_xxx_sites.TXT.pif
I_am_sorry.DOC.pif
Me_nude.AVI.pif
Sorry_about_yesterday.DOC.pif
Protect_your_credit.HTML.pif
JIMI_HMNDRIX.MP3.pif
HANSON.SCR
FUCKING_WITH_DOGS.SCR
MATRiX_2_is_OUT.SCR
zipped_files.EXE
BLINK_182.MP3.pif

Als angehängte Datei verwendet der Wurm die Datei WIN32.DLL, die von der Viruskomponente gelöscht wurde.

Hinweis: Der Wurm löscht die WIN32.DLL-Datei nicht, sondern verwendet diese Datei, um sie an gesendete Nachrichten anzuhängen. Der "reine Wurm" kann sich also nicht mehr als einmal verbreiten: Wird der Wurm auf einer Opfermaschine ausgeführt, infiziert er WSOCK32.DLL, kann aber seine Kopien nicht weiter senden. Um dieses Problem zu beheben, sendet der Wurm seine infizierte Kopie (WIN32.DLL ist eine Wurm-Komponente, die von einer Virus-Komponente infiziert ist, siehe oben).

Die bekannte Wurm-Modifikation hat einen Fehler in ihrer Verbreitungsroutine, und der E-Mail-Server empfängt in vielen Fällen keine betroffenen Nachrichten von dem infizierten Computer. Trotzdem, wenn das System eine DFÜ-Verbindung hat oder der Mail-Server schnell genug ist, sendet der Wurm seine Kopien ohne Probleme.

Hintertür

Wenn sie ausgeführt wird, erstellt eine Backdoor-Komponente einen neuen Schlüssel in der Systemregistrierung, der anzeigt, dass der Computer bereits infiziert ist:

HKLMSoftware [MATRIX]

Wenn dieser Schlüssel vorhanden ist, überspringt die Backdoor den Installationsvorgang. Ansonsten registriert es sich im Auto-Run-Bereich:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
SystemBackup =% WinDir% MTX_.EXE

Wo% WinDir% ist Windows-Verzeichnis.

Die Backdoor bleibt dann in Windows als versteckte Anwendung (Dienst) aktiv und führt eine Routine aus, die sich mit einem Internetserver verbindet, Dateien von dort abruft und sie im System erzeugt. So kann die Backdoor das System mit anderen Viren infizieren oder Trojaner-Programme oder funktionalere Backdoors installieren.

Diese Komponente in der bekannten Virus-Version hat auch einen Fehler, der standardmäßig eine Windows-Nachricht über einen Fehler in der Anwendung verursacht, wenn eine Hintertür versucht, auf eine Internet-Site zuzugreifen.


Link zum Original