Searching
..

Click anywhere to stop

DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Net-Worm.Win32.Kolab

Erkennungsdatum 04/13/2011
Kategorie Net-Worm
Plattform Win32
Beschreibung

Die gesamte Nutzlast des Wurms wird durch einen Code ausgeführt, der in den Adressraum des Prozesses "EXPLORER.EXE" eingefügt wird. Die Payload wird nicht ausgeführt, wenn eine der folgenden Bedingungen erfüllt ist:

  • Der folgende Zweig fehlt in der Systemregistrierung:
     [HKCUControl PanelPowerCfgPowerPolicies] 
  • Der Kontoname des aktuellen Benutzers lautet:
     NUTZERNAMEBenutzerCOMPUTERNAMEAktueller Benutzer
  • Die folgenden Bibliotheken werden in den Adressraum des Wurms geladen:
     SbieDll.dlldbghelp.dllapi_log.dlldir_watch.dllpstorec.dll
  • Die ursprüngliche Datei des Wurms wurde im System gespeichert als:
    c: Datei.exe 

    Nachdem der schädliche Code durch den Prozess "EXPLORER.EXE" eingefügt wurde, werden die folgenden Aktionen ausgeführt:

  • Um sicherzustellen, dass der Prozess innerhalb des Systems eindeutig ist, wird ein eindeutiger Bezeichner erstellt, der wie folgt benannt wird:
  • Um den Zugriff auf das infizierte System zu ermöglichen, wird die folgende Named Pipe erstellt:
     .piperrreokdirjiurururr 
  • Eine Verbindung zum Server des böswilligen Benutzers wird hergestellt:
    di *** ind.cnant *** tition.comfre *** unge.com

    Nach einem Befehl des böswilligen Benutzers kann der Wurm folgende Aktionen auf dem infizierten Computer ausführen:

    • Organisieren Sie einen DoS-Angriff auf bestimmte Server.
    • Laden Sie Dateien von Links herunter, die an sie gesendet wurden. Die heruntergeladenen Dateien werden im Verzeichnis für temporäre Dateien des aktuellen Benutzers "% Temp%" mit zufälligen Namen gespeichert.
    • Laden Sie die aktualisierte Version des Wurms vom Server des böswilligen Benutzers herunter.
    • Analysieren Sie Einstellungsdateien für diese Browser:
      Mozilla FirefoxInternet ExplorerGoogle ChromeOper

      um gestohlene Passwörter zu stehlen.

    • Browser-Cookies stehlen und ändern. Dazu verwendet der Wurm das in den Browser Mozilla Firefox eingebaute Modul "sqlite".
    • Die in den Abschnitten "Installation" und "Weitergabe" beschriebenen Aktionen. Der Wurm tauscht mit dem Server des böswilligen Benutzers Nachrichten des folgenden Typs aus:
      Scan gestopptScannen läuftDer Scanvorgang wurde gestartetKB-Daten gesendet: <Nummer>SYN-Pakete gesendet: <Nummer>Hochwasser läuftflood gestoppt: <string>Überschwemmung: <string>Laufwerk infiziert: <string>USB-Spreader läuftP2P Kopiere nach: <string>MSN-Spreader läuftMSN spread gestartet, link: <string> MSN-Link gesendet
    • Auf Befehl des böswilligen Benutzers ist es auch möglich, die Datei "hosts" zu ersetzen:
       % System% Treiberaufrufe 

      Zum Zeitpunkt des Schreibens reagierte der Server des böswilligen Benutzers nicht.


Link zum Original
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Bedrohungen