DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Email-Worm.Win32.Unicle

Kategorie Email-Worm
Plattform Win32
Beschreibung

Technische Details

Allgemeine Charakteristiken

Dieser Wurm kann nur mit chinesischen Windows-Versionen arbeiten und verbreitet sich selbst, indem er infizierte E-Mail-Nachrichten sendet. Der Wurm besteht aus zwei Komponenten: einem Skriptprogramm und einer Windows PE EXE-Datei. Die erste Komponente (Skript) wird in infizierten E-Mails gesendet, infiziert den Computer, lädt dann eine EXE-Komponente herunter und führt sie aus, die die Infektion vervollständigt und die Wurmkopien weiter verbreitet.

Installation

Der Wurm kommt als HTML-Nachricht mit einem darin enthaltenen JavaScript-Programm an. Dieses Skript wird automatisch beim Öffnen einer Nachricht verarbeitet und der Wurmcode erhält die Kontrolle.

Hinweis:
Internetbrowser und E-Mail-Clients verfügen über integrierte Sicherheitsmechanismen, die verhindern, dass in Nachrichten eingebettete Skriptprogramme auf Datenträgerdateien und Systemressourcen zugreifen (der Wurm muss sich selbst verbreiten – siehe unten). Um das System von einer E-Mail-Nachricht zu infizieren, muss der Wurm diese Schutzmaßnahmen vermeiden. Zu diesem Zweck wird eine Internet Explorer 5-Sicherheitsverletzung ausgenutzt – eine sogenannte "Scriptlet.Typelib-Schwachstelle" (siehe unten).

Der Wurm sucht dann nach dem Startverzeichnis – er sucht nach Windows-Verzeichnissen in der folgenden Reihenfolge:

C: WINDOWSStart MenuPrograms-T-�
C: WINDOWStart MenuPrograms-T-�
C: WINStart-Menüprogramme-T-�
C: WIN98Starten Sie MenuPrograms-T-�
C: WIN95Starten Sie MenuPrograms-T-�
C: WINDOWS.000Start MenuPrograms-T-�
C: WINDOWS.001Starten Sie MenuPrograms-T-�
D: WINDOWSStart MenuPrograms-T-�
D: WINDOWStart MenuPrograms-T-�
D: WINStart-Menüprogramme-T-�
D: WIN98Starten Sie MenuPrograms-T-�
D: WIN95Start Menüprogramme-T-�
D: WINDOWS.000Start MenuPrograms-T-�
D: WINDOWS.001Starten Sie MenuPrograms-T-�

Falls es auf der Maschine keine solchen Verzeichnisse gibt, kann der Wurm das System nicht infizieren und kann sich nicht weiter ausbreiten. Die letzten Zeichen in jeder Zeile sind chinesische Zeichenfolgen und können nicht unter einer anderen lokalen Windows-Version verwendet werden. Aus diesem Grund kann der Wurm nur chinesische Windows beeinflussen.

Wenn ein geeignetes Verzeichnis gefunden wurde, erstellt der Wurm die Datei "Microsoft Internet Explorer.hta" dort. Diese Datei enthält eine HTML-Anwendung, die das Skriptprogramm eines weiteren Wurms enthält. Da die Datei im Windows-Startverzeichnis erstellt wird, wird sie beim nächsten Windows-Start ausgeführt.

Einmal ausgeführt "Microsoft Internet Explorer.hta" -Skript erstellt MSIE.INI-Datei im Windows-Systemverzeichnis und speichert die lokale SMTP-Server-Adresse in dort (der Wurm erhält diese SMTP-Server-Adresse aus der Systemregistrierung).

Hinweis:
Der SMTP-Server ist ein Computer, der E-Nachrichten vom Computer empfängt. In Fällen, in denen ein eigenständiger PC oder E-Mail-Server vorhanden ist, ist dies die Adresse des Anbieters oder eine andere Adresse, die als Host-E-Mail-Server zum Senden und Empfangen von E-Mails verwendet wird.

Danach erstellt der Wurm den "System" -Ordner im Windows-Systemverzeichnis (zum Beispiel "C: WINDOWSSYSTEMsystem") und versucht, die MSIE.EXE-Datei aus dem Internet herunterzuladen. Um dies zu tun, verbindet sich der Wurm mit einem der zehn FTP-Sites mit dem Skript für das Standard-Dienstprogramm FTP.EXE. Wenn der Download fehlschlägt, geht der Wurm in eine Schleife und versucht sie alle drei Minuten zu wiederholen.

Wenn die Datei MSIE.EXE heruntergeladen wird, führt der Wurm sie aus (MSIE.EXE extrahiert das Archiv selbst) und erhält zwei weitere Dateien:

EXPLORER.EXE
MSWINSCK.OCX

EXPLORER.EXE ist die zweite Wurmkomponente (Windows EXE-Datei) und MSWINSCK.OCX ist eine Bibliothek, um auf Windows-Sockets zuzugreifen.

Der Wurm startet dann die Datei EXPLORER.EXE, die die E-Mail-Adressen erhält und infizierte Nachrichten mit dem Skriptprogramm des Wurms sendet, indem er das SMTP-Protokoll verwendet. Um die E-Mail-Adressen der Opfer zu erfassen, durchsucht der Wurm den Unterverzeichnisbaum auf allen Laufwerken, sucht nach * .NCH-, * .SNM-, * .DBX-Dateien (Mail-Datenbankdateien), durchsucht diese und sucht nach E-Mail-Adressen.

Die EXPLORER.EXE des Wurms führt auch zusätzliche Aktionen aus. Zuallererst löscht es "Spuren" seiner Skriptkomponente und löscht Dateien, die von ihm erstellt wurden: MSIE.HTA, MSIE.LST, MSBOOT.BAT, MSIE.EXE. Es registriert sich dann in der Datei WIN.INI in dem "run =" Befehl, um automatisch bei jedem Windows-Start ausgeführt zu werden.

Der Wurm benachrichtigt auch seinen Autor (oder möglichen Host) über seine Anwesenheit auf dem infizierten Computer. Dazu sendet er eine Nachricht an eine der folgenden Adressen:

leebill_001@yahoo.com
leebill_002@yahoo.com

leebill_023@yahoo.com

Es gibt 23 mögliche Adressen, und der Wurm wählt zufällig eine davon aus.

Nutzlast

Der Wurm hat eine "Hintertür" – Nutzlast, die auf einen entfernten Host "hört" und seine Befehle ausführt: ein Verzeichnis anzeigen, Datei öffnen / schließen / erstellen / ausführen / löschen usw

Demo-Versionen von Kaspersky AntiViral Toolkit Pro (AVP) zur Bekämpfung des Unicle-Wurms finden Sie auf der Website von Kaspersky unter http://www.kasperskylab.ru/eng/products/eval.asp.

Sie können die voll funktionsfähige Version von AntiViral Toolkit Pro online über das Internet unter der folgenden Adresse erwerben: http://www.kasperskylab.ru/eng/buy/default.asp

Wie schützt man sich gegen "Unicle" Wurm?

Microsoft hat ein Update veröffentlicht, das die Sicherheitsanfälligkeit "Scriptlet.TypeLib" beseitigt. Wir empfehlen dringend, dass Sie http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP besuchen und dieses Update installieren.

Wenn Sie keine HTML-Anwendungen (HTA-Dateien) verwenden, gibt es eine andere Möglichkeit, eine Infektion durch Viren dieses Typs zu verhindern (die Würmer und Viren, die die Sicherheitslücke "Scriptlet.Typelib" verwenden). Sie müssen die Dateizuordnung für die Erweiterung .HTA entfernen. Um dies zu tun, müssen Sie die folgenden Schritte ausführen:

1. Doppelklicken Sie auf dem Desktop auf das Symbol "Arbeitsplatz".
2. Im erscheinenden Fenster wählen Sie das Menü "Ansicht" -> "Optionen …".
3. Wählen Sie auf der Registerkarte "Dateitypen" im Listenfeld "Registrierte Dateitypen" den Eintrag "HTML Applicaton".
4. Klicken Sie auf "Entfernen" und bestätigen Sie die Aktion.
5. Schließen Sie das Dialogfeld Optionen.


Link zum Original