English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.
Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.
Email-Worm.Win32.Unicle
| Kategorie | Email-Worm |
| Plattform | Win32 |
| Beschreibung |
Technische DetailsAllgemeine CharakteristikenDieser Wurm kann nur mit chinesischen Windows-Versionen arbeiten und verbreitet sich selbst, indem er infizierte E-Mail-Nachrichten sendet. Der Wurm besteht aus zwei Komponenten: einem Skriptprogramm und einer Windows PE EXE-Datei. Die erste Komponente (Skript) wird in infizierten E-Mails gesendet, infiziert den Computer, lädt dann eine EXE-Komponente herunter und führt sie aus, die die Infektion vervollständigt und die Wurmkopien weiter verbreitet. InstallationDer Wurm kommt als HTML-Nachricht mit einem darin enthaltenen JavaScript-Programm an. Dieses Skript wird automatisch beim Öffnen einer Nachricht verarbeitet und der Wurmcode erhält die Kontrolle. Hinweis: Der Wurm sucht dann nach dem Startverzeichnis – er sucht nach Windows-Verzeichnissen in der folgenden Reihenfolge:
Falls es auf der Maschine keine solchen Verzeichnisse gibt, kann der Wurm das System nicht infizieren und kann sich nicht weiter ausbreiten. Die letzten Zeichen in jeder Zeile sind chinesische Zeichenfolgen und können nicht unter einer anderen lokalen Windows-Version verwendet werden. Aus diesem Grund kann der Wurm nur chinesische Windows beeinflussen. Wenn ein geeignetes Verzeichnis gefunden wurde, erstellt der Wurm die Datei "Microsoft Internet Explorer.hta" dort. Diese Datei enthält eine HTML-Anwendung, die das Skriptprogramm eines weiteren Wurms enthält. Da die Datei im Windows-Startverzeichnis erstellt wird, wird sie beim nächsten Windows-Start ausgeführt. Einmal ausgeführt "Microsoft Internet Explorer.hta" -Skript erstellt MSIE.INI-Datei im Windows-Systemverzeichnis und speichert die lokale SMTP-Server-Adresse in dort (der Wurm erhält diese SMTP-Server-Adresse aus der Systemregistrierung). Hinweis: Danach erstellt der Wurm den "System" -Ordner im Windows-Systemverzeichnis (zum Beispiel "C: WINDOWSSYSTEMsystem") und versucht, die MSIE.EXE-Datei aus dem Internet herunterzuladen. Um dies zu tun, verbindet sich der Wurm mit einem der zehn FTP-Sites mit dem Skript für das Standard-Dienstprogramm FTP.EXE. Wenn der Download fehlschlägt, geht der Wurm in eine Schleife und versucht sie alle drei Minuten zu wiederholen. Wenn die Datei MSIE.EXE heruntergeladen wird, führt der Wurm sie aus (MSIE.EXE extrahiert das Archiv selbst) und erhält zwei weitere Dateien:
EXPLORER.EXE ist die zweite Wurmkomponente (Windows EXE-Datei) und MSWINSCK.OCX ist eine Bibliothek, um auf Windows-Sockets zuzugreifen. Der Wurm startet dann die Datei EXPLORER.EXE, die die E-Mail-Adressen erhält und infizierte Nachrichten mit dem Skriptprogramm des Wurms sendet, indem er das SMTP-Protokoll verwendet. Um die E-Mail-Adressen der Opfer zu erfassen, durchsucht der Wurm den Unterverzeichnisbaum auf allen Laufwerken, sucht nach * .NCH-, * .SNM-, * .DBX-Dateien (Mail-Datenbankdateien), durchsucht diese und sucht nach E-Mail-Adressen. Die EXPLORER.EXE des Wurms führt auch zusätzliche Aktionen aus. Zuallererst löscht es "Spuren" seiner Skriptkomponente und löscht Dateien, die von ihm erstellt wurden: MSIE.HTA, MSIE.LST, MSBOOT.BAT, MSIE.EXE. Es registriert sich dann in der Datei WIN.INI in dem "run =" Befehl, um automatisch bei jedem Windows-Start ausgeführt zu werden. Der Wurm benachrichtigt auch seinen Autor (oder möglichen Host) über seine Anwesenheit auf dem infizierten Computer. Dazu sendet er eine Nachricht an eine der folgenden Adressen:
Es gibt 23 mögliche Adressen, und der Wurm wählt zufällig eine davon aus. NutzlastDer Wurm hat eine "Hintertür" – Nutzlast, die auf einen entfernten Host "hört" und seine Befehle ausführt: ein Verzeichnis anzeigen, Datei öffnen / schließen / erstellen / ausführen / löschen usw Demo-Versionen von Kaspersky AntiViral Toolkit Pro (AVP) zur Bekämpfung des Unicle-Wurms finden Sie auf der Website von Kaspersky unter http://www.kasperskylab.ru/eng/products/eval.asp. Sie können die voll funktionsfähige Version von AntiViral Toolkit Pro online über das Internet unter der folgenden Adresse erwerben: http://www.kasperskylab.ru/eng/buy/default.asp Wie schützt man sich gegen "Unicle" Wurm?Microsoft hat ein Update veröffentlicht, das die Sicherheitsanfälligkeit "Scriptlet.TypeLib" beseitigt. Wir empfehlen dringend, dass Sie http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP besuchen und dieses Update installieren. Wenn Sie keine HTML-Anwendungen (HTA-Dateien) verwenden, gibt es eine andere Möglichkeit, eine Infektion durch Viren dieses Typs zu verhindern (die Würmer und Viren, die die Sicherheitslücke "Scriptlet.Typelib" verwenden). Sie müssen die Dateizuordnung für die Erweiterung .HTA entfernen. Um dies zu tun, müssen Sie die folgenden Schritte ausführen:
|
Link zum Original |
|
| Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Bedrohungen |