Email-Worm.Win32.Quamo

Technische Details

Dies ist ein Virus-Wurm, der über das Internet infizierte E-Mails verbreitet. Der Wurm selbst ist eine Windows PE EXE-Datei mit einer Länge von etwa 57 KB und ist in Visual Basic Script geschrieben.

Die infizierten Nachrichten enthalten unterschiedliche Subjekte, Körper und angehängte Dateinamen, die zufällig aus den folgenden Varianten ausgewählt werden:

Fächer:

Etwas ganz besonderes
Ich weiß, dass dir das gefallen wird
Ja, etwas, was ich mit dir teilen kann
Warte, bis du das siehst!
Ein brandneues Spiel! Ich hoffe du genießt es

Körper (einzeilige Texte):

Hey du, schau dir die angehängte Datei an. Du wirst deinen Augen nicht trauen, wenn du sie öffnest!
Du magst Spiele wie Quake? Sie werden diesen genießen.
Hast du die Bilder von mir und meinem batteriebetriebenen Freund gesehen?

sowie (mehrzeilige Texte):

Mein bester Freund,
Das musst du sehen!
Bis zum nächsten Mal

Ist das Internet sicher?
Hör zu

Angehängte Datei:

Infizierte Datei ausgeführt

Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf die angehängte Datei klickt und Folgendes anzeigt:

Zur gleichen Zeit installiert sich der Wurm selbst auf dem System. Falls die Schaltfläche [Weiter] gedrückt wird, passiert nichts (außer der Installation der Wurmkopien auf dem System), und die Anwendung des Wurms wird einfach beendet. Wenn die Schaltfläche [Abbrechen] gedrückt wird, startet der Wurm seine E-Mail-Verbreitungsroutine.

Installieren

Während der Installation im System erstellt der Wurm das neue Verzeichnis C: EIRAM und kopiert sich selbst unter Verwendung der folgenden Namen:

c: eiramquake4demo.exe
f: quake4demo.exe (wenn dieses Laufwerk existiert)

und registriert diese Dateien dann in den Registrierungsschlüsseln für die automatische Ausführung:

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
"Beben" = "c: eiramquake4demo.exe"
"Q4" = "f: quake4demo.exe"

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
"Q4" = "c: eiramquake4demo.exe"
"Beben" = "f: quake4demo.exe"

Später kann der Wurm beim Senden von E-Mail-Nachrichten weitere Kopien im Windows-Verzeichnis erstellen:

honey.exe
quake4demo.exe
setup.exe

Verbreitung

Die E-Mail-Verteilungsroutine wird nur aktiviert, wenn ein Benutzer die Schaltfläche [Abbrechen] in der Nachrichtenbox drückt (siehe oben).

Um infizierte Nachrichten zu senden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch.

Nutzlast

Bei jedem Start aktiviert der Wurm seine Nutzlast-Routine, die nach den folgenden Dateien sucht: * .exe, * .xls, * .doc, * .mdb, * .htm, * .html, * .txt, * .ocx und überschreibt sie mit folgendem Text:

Sie haben Ihre Dateien nicht gut genug geschützt
Lass das eine Lektion sein! Vertraue niemals jemand anderem
eiram 1999-2001