DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.Sysnom

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Virus-Wurm, der über das Internet infizierte E-Mails verbreitet. Der Wurm selbst ist eine Windows PE EXE-Datei mit einer Länge von etwa 21 KB (komprimiert von UPX, dekomprimierte Größe ist etwa 45 KB) und in Visual Basic geschrieben.

Infizierte Nachrichten enthalten:

Betreff : Gute Nachrichten
Anlage : SoftwareKey.exe

Der Körper wird aus den folgenden drei Varianten ausgewählt:

Willst du die I-Würmer CodeRed, BadTrans, Goner, Updater usw. entfernen?
Gute Nachrichten für Sie, denn wir geben Ihnen eine Software, die die neuesten Internet-Würmer in Ihrem PC entfernt.
Inbegriffen ist Ihre kostenlose Software von AVP.

Hallo! Sie sind ein Gewinner einer Reise nach Island.
In dieser Nachricht ist eine Software enthalten, mit der Sie Ihren Preis beanspruchen können.
Wir sehen uns dort !!! Island.com

Hallo! Sie haben gerade ein Flugticket nach Bali, Indonesien gewonnen!
Klicken Sie auf den Anhang, um zu erfahren, wie Sie Ihren Preis geltend machen können.
Diese Nachricht ist mit freundlicher Genehmigung von YouCanSeeTheWorld.com.

Der Wurm wird nur dann von einer infizierten E-Mail aktiviert, wenn ein Benutzer auf die angehängte Datei klickt. Der Wurm installiert sich dann selbst auf dem System und kopiert sich mit den folgenden Namen in das Verzeichnis C: WINDOWS:

C: WINDOWSSoftwareKey.exe
C: WINDOWSSYSNOM.EXE
C: WINDOWSSCANREGW.EXE (die opinuelle SCANREGW-Datei wird durch Wurmkopie überschrieben)

und registriert eine Datei im System-Registrierungsschlüssel:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun System Monitor = c: WINDOWSSYSNOM.EXE

Der Wurm zeigt dann die folgende Nachricht an:

und startet seine E-Mail-Verbreitungsroutine. Um infizierte Nachrichten zu versenden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch.

Der Wurm öffnet dann die Website "http://www.avp.ch" mit IEXPLORER.EXE und startet einen DoS-Angriff auf die Website "indovirus.8m.com".

Der Wurm manifestiert sich auf keine andere Weise.


Link zum Original