Email-Worm.Win32.Valcard

Technische Details

Dies ist ein Virus-Wurm, der über das Internet infizierte E-Mails verbreitet. Der Wurm selbst ist eine Windows PE EXE-Datei mit einer Länge von etwa 97 KB (komprimiert von UPX, etwa 132 KB bei der Dekomprimierung) und in Visual Basic geschrieben.

Verbreitung

Um infizierte Nachrichten zu senden, verwendet der Wurm MS Outlook und sendet Nachrichten an alle Adressen im Outlook-Adressbuch. Die infizierten Nachrichten erscheinen wie folgt:

Der Betreff wird zufällig aus folgenden Varianten ausgewählt:

Heimlicher Verehrer
Jemand liebt dich
Romantik aus der Ferne
Liebe auf den ersten Blick
… wenn Schläfer aufwachen und doch noch träumen …
Sei mein ?!
Immer dein
Alles Gute zum Valentinstag
Von mir zu dir
Dein ewiger Sommer wird nicht verblassen
Ich kann kein freundlicheres Zeichen der Liebe ausdrücken, als diesen freundlichen Kuss
Die Poesie ist ein Echo und bittet einen Schatten zum Tanzen
O, Schönheit, bis jetzt habe ich dich nie erkannt!
Romantische Geste
Gute Nacht, süßer Prinz und Engelsflüge singen dich zu deiner Ruhe

Der Nachrichtentext, gefolgt von einem „Benutzername“, wird aus den folgenden Varianten ausgewählt:

Alles Gute zum Valentinstag
Ich hoffe, dir gefällt die Karte, die ich angehängt habe,
auch wenn du nicht gleich fühlst.

Febuary Feelings
Wieder ist es diese Zeit des Jahres.
Aber ich sedge immer noch nur eine Karte zu dir.
Alles Gute zum Valentinstag
Ich hoffe, dir gefällt die Karte, die ich angehängt habe,
auch wenn du nicht gleich fühlst.

Hallo
Ich fühle mich wie ein Kind, das dir diese Karte schickt
aber ich musste es einfach machen.
Alles Gute zum Valentinstag
Ich hoffe, dir gefällt die Karte, die ich angehängt habe,
auch wenn du nicht gleich fühlst.

… und jeden Atemzug, den ich jemals genommen habe,
jede Träne, die ich weinte,
Jeder Stern, den ich mir wünschte,
Bis jetzt nichts geschienen.
Alles Gute zum Valentinstag
Ich hoffe, dir gefällt die Karte, die ich angehängt habe,

In diesem Leben können wir keine großartigen Dinge tun.
Wir können nur kleine Dinge mit großer Liebe tun.
Alles Gute zum Valentinstag
Ich hoffe, dir gefällt die Karte, die ich angehängt habe,
auch wenn du nicht gleich fühlst.

Anlage : ValentineCard.exe

Installieren

Der Wurm aktiviert infizierte E-Mails nur, wenn ein Benutzer auf eine angehängte Datei klickt. Der Wurm installiert sich dann im System und führt eine Spreizroutine und Nutzlast aus.

Während der Installation kopiert sich der Wurm mit dem Namen "ValentineCard.exe" in das Windows-Systemverzeichnis und registriert diese Datei im System-Registrierungsschlüssel:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun 14th =% SystemDir% ValentineCard.exe

Dabei ist% SystemDir% das Windows-Systemverzeichnis.

Nutzlast

Nach der Installation schreibt der Wurm den Registrierungsschlüssel "not an first run":

HKLMSoftwareMicrosoftWindowsCurrentVersion Valentine = true

und funktioniert dann abhängig von der Anwesenheit dieser Taste. Wegen eines Fehlers, bei jedem Lauf (erster Lauf, zweiter Lauf, …), macht der Wurm das gleiche: Er erstellt "C: evil.jpg", schreibt Audiodaten dorthin und öffnet sie. Da die Datei eine falsche Erweiterung (".jpg" Bild, nicht ".wav" Sound) hat, akzeptiert das System es nicht. Falls diese Datei in ".wav" umbenannt wird, wird die Phrase "Somebody loves you" abgespielt.

Der Wurm sollte auch (aber scheitert) die Datei "C: 1.wav" erstellen und sein Fenster öffnen. Das Programmfenster des Wurms sollte einen beweglichen Titel haben:

Ich liebe dich !

Auf der Schaltfläche "Info" sollte folgende Meldung angezeigt werden:

Flash Player
Flash Player 4.0
Copywrite (C) 1996-1999 Macromedia, Inc.
http://www.macromedia.com

Am Donnerstag sollte der Wurm Windows neu starten (aber fehlschlägt).