DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.Scrambler

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Internet-Wurmvirus, der sich in infizierten E-Mails verbreitet, seine Kopien an IRC-Kanäle sendet und Windows EXE-Dateien auf einem lokalen Computer infiziert. Der Wurm selbst ist eine ausführbare Windows-Datei mit einer Länge von 70 KB, die in Microsoft Visual C ++ geschrieben wurde.

Wenn eine infizierte Datei ausgeführt wird, erstellt der Virus seinen "Dropper" (eine Datei mit reinem Virencode) im Windows-Systemverzeichnis. Diese Datei hat einen zufälligen fünfstelligen Namen, zum Beispiel: HIJDE.EXE. Diese Datei wird später verwendet, um Viruskopien an Internet- und IRC-Kanäle zu senden.

Der Virus durchsucht dann das Windows-Verzeichnis, sucht nach ausführbaren Windows EXE-Dateien und infiziert sie, indem er den Virencode an den Anfang der Datei schreibt. Der Virus verhindert die Infektion von Dateien mit Namen, die mit einem der folgenden Buchstaben beginnen: E, P, R, T, W. Der Virus infiziert dann alle EXE-Dateien im Verzeichnis C: MIRCDOWNLOAD, falls er im System vorhanden ist.

Als nächstes infiziert der Virus den mIRC-Client, um seine Kopien an IRC-Kanäle zu senden, sowie an MS Outlook, um sich mit E-Mail-Nachrichten zu verbreiten.

Um den mIRC-Client zu infizieren, versucht der Virus, eine SCRIPT.INI-Datei in Standard-mIRC-Verzeichnissen auf allen Laufwerken von C: bis F: zu erstellen (zu überschreiben). Die infizierten Dateinamen erscheinen wie folgt:

mircscript.ini
PROGRA ~ 1mircscript.ini

Der Wurm schreibt ein kurzes Skript dorthin, das seinen "Dropper" an jeden Benutzer sendet, der den infizierten Kanal betritt.

Der Virus erstellt das SCRAMBLER.VBS VisualBasic im Windows-Systemverzeichnis und schreibt dort ein Skriptprogramm, das sich mit MS Outlook verbindet und E-Mail-Nachrichten an die ersten 90 Benutzer aus dem MS Outlook-Adressbuch sendet. Die Nachrichten haben eine infizierte Anlage (Virus "Dropper"); das Thema lautet "Schau dir das an, es ist lustig!"; und der Nachrichtentext ist leer. Der Virus erzeugt dann dieses Skript und verbreitet sich als Ergebnis im Internet.

Der Virus erstellt dann die WINSTART.BAT-Datei im Windows-Verzeichnis und schreibt zwei Befehle dorthin, die den Bildschirm löschen und die folgende Meldung anzeigen, wenn diese Datei ausgeführt wird:

Heute..
Ich werde deine Gedanken durcheinander bringen ..

Der Virus erstellt auch die Datei SCRAM.SYS und speichert den Text dort:

Scrambler
von Gigabyte

Der Virus scannt Laufwerke nach MP3-Dateien und beschädigt sie.


Link zum Original