Kaspersky Threats

Kategorie

Plattform

Beschreibung

Technische Details

Dies ist ein Virus-Wurm, der über das Internet infizierte E-Mails verbreitet. Der Wurm selbst ist eine Windows PE EXE-Datei mit einer Länge von etwa 21 KB (komprimiert von UPX, dekomprimierte Größe ist etwa 45 KB) und in Visual Basic geschrieben.

Infizierte Nachrichten enthalten:

Betreff : Gute Nachrichten
Anlage : SoftwareKey.exe

Der Körper wird aus den folgenden drei Varianten ausgewählt:

Willst du die I-Würmer CodeRed, BadTrans, Goner, Updater usw. entfernen?
Gute Nachrichten für Sie, denn wir geben Ihnen eine Software, die die neuesten Internet-Würmer in Ihrem PC entfernt.
Inbegriffen ist Ihre kostenlose Software von AVP.

Hallo! Sie sind ein Gewinner einer Reise nach Island.
In dieser Nachricht ist eine Software enthalten, mit der Sie Ihren Preis beanspruchen können.
Wir sehen uns dort !!! Island.com

Hallo! Sie haben gerade ein Flugticket nach Bali, Indonesien gewonnen!
Klicken Sie auf den Anhang, um zu erfahren, wie Sie Ihren Preis geltend machen können.
Diese Nachricht ist mit freundlicher Genehmigung von YouCanSeeTheWorld.com.

Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf die angehängte Datei klickt. Der Wurm installiert sich dann selbst auf dem System und kopiert sich mit den folgenden Namen in das Verzeichnis C: WINDOWS:

C: WINDOWSSoftwareKey.exe
C: WINDOWSSYSNOM.EXE
C: WINDOWSSCANREGW.EXE (die opinuelle SCANREGW-Datei wird durch Wurmkopie überschrieben)

und registriert eine Datei im System-Registrierungsschlüssel:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun System Monitor = c: WINDOWSSYSNOM.EXE

Der Wurm zeigt dann die folgende Nachricht an:

und startet seine E-Mail-Verbreitungsroutine. Um infizierte Nachrichten zu versenden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch.

Der Wurm öffnet dann die Website "http://www.avp.ch" mit IEXPLORER.EXE und startet einen DoS-Angriff auf die Website "indovirus.8m.com".

Der Wurm manifestiert sich auf keine andere Weise.

Link zum Original

Kategorie	Email-Worm
Plattform	Win32
Beschreibung	Technische Details Dies ist ein Virus-Wurm, der über das Internet infizierte E-Mails verbreitet. Der Wurm selbst ist eine Windows PE EXE-Datei mit einer Länge von etwa 21 KB (komprimiert von UPX, dekomprimierte Größe ist etwa 45 KB) und in Visual Basic geschrieben. Infizierte Nachrichten enthalten: Betreff : Gute Nachrichten Anlage : SoftwareKey.exe Der Körper wird aus den folgenden drei Varianten ausgewählt: Willst du die I-Würmer CodeRed, BadTrans, Goner, Updater usw. entfernen? Gute Nachrichten für Sie, denn wir geben Ihnen eine Software, die die neuesten Internet-Würmer in Ihrem PC entfernt. Inbegriffen ist Ihre kostenlose Software von AVP. Hallo! Sie sind ein Gewinner einer Reise nach Island. In dieser Nachricht ist eine Software enthalten, mit der Sie Ihren Preis beanspruchen können. Wir sehen uns dort !!! Island.com Hallo! Sie haben gerade ein Flugticket nach Bali, Indonesien gewonnen! Klicken Sie auf den Anhang, um zu erfahren, wie Sie Ihren Preis geltend machen können. Diese Nachricht ist mit freundlicher Genehmigung von YouCanSeeTheWorld.com. Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf die angehängte Datei klickt. Der Wurm installiert sich dann selbst auf dem System und kopiert sich mit den folgenden Namen in das Verzeichnis C: WINDOWS: C: WINDOWSSoftwareKey.exe C: WINDOWSSYSNOM.EXE C: WINDOWSSCANREGW.EXE (die opinuelle SCANREGW-Datei wird durch Wurmkopie überschrieben) und registriert eine Datei im System-Registrierungsschlüssel: HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun System Monitor = c: WINDOWSSYSNOM.EXE Der Wurm zeigt dann die folgende Nachricht an: und startet seine E-Mail-Verbreitungsroutine. Um infizierte Nachrichten zu versenden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch. Der Wurm öffnet dann die Website "http://www.avp.ch" mit IEXPLORER.EXE und startet einen DoS-Angriff auf die Website "indovirus.8m.com". Der Wurm manifestiert sich auf keine andere Weise.
	Link zum Original

Email-Worm.Win32.Sysnom

Technische Details