DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Net-Worm.Win32.Kolab

Erkennungsdatum 04/13/2011
Kategorie Net-Worm
Plattform Win32
Beschreibung

Die gesamte Nutzlast des Wurms wird durch einen Code ausgeführt, der in den Adressraum des Prozesses "EXPLORER.EXE" eingefügt wird. Die Payload wird nicht ausgeführt, wenn eine der folgenden Bedingungen erfüllt ist:

  • Der folgende Zweig fehlt in der Systemregistrierung:
     [HKCUControl PanelPowerCfgPowerPolicies] 
  • Der Kontoname des aktuellen Benutzers lautet:
     NUTZERNAME
    
    
    
    Benutzer
    
    
    
    COMPUTERNAME
    
    
    
    Aktueller Benutzer
    
    
    
    
  • Die folgenden Bibliotheken werden in den Adressraum des Wurms geladen:
     SbieDll.dll
    
    
    
    dbghelp.dll
    
    
    
    api_log.dll
    
    
    
    dir_watch.dll
    
    
    
    pstorec.dll
    
    
    
    
  • Die ursprüngliche Datei des Wurms wurde im System gespeichert als:
    
    
    
    c: Datei.exe 

    Nachdem der schädliche Code durch den Prozess "EXPLORER.EXE" eingefügt wurde, werden die folgenden Aktionen ausgeführt:

  • Um sicherzustellen, dass der Prozess innerhalb des Systems eindeutig ist, wird ein eindeutiger Bezeichner erstellt, der wie folgt benannt wird:
  • Um den Zugriff auf das infizierte System zu ermöglichen, wird die folgende Named Pipe erstellt:
     .piperrreokdirjiurururr 
  • Eine Verbindung zum Server des böswilligen Benutzers wird hergestellt:
    
    
    
    di *** ind.cn
    
    
    
    ant *** tition.com
    
    
    
    fre *** unge.com
    
    
    
    

    Nach einem Befehl des böswilligen Benutzers kann der Wurm folgende Aktionen auf dem infizierten Computer ausführen:

    • Organisieren Sie einen DoS-Angriff auf bestimmte Server.
    • Laden Sie Dateien von Links herunter, die an sie gesendet wurden. Die heruntergeladenen Dateien werden im Verzeichnis für temporäre Dateien des aktuellen Benutzers "% Temp%" mit zufälligen Namen gespeichert.
    • Laden Sie die aktualisierte Version des Wurms vom Server des böswilligen Benutzers herunter.
    • Analysieren Sie Einstellungsdateien für diese Browser:
      
      
      
      Mozilla Firefox
      
      
      
      Internet Explorer
      
      
      
      Google Chrome
      
      
      
      Oper
      
      
      
      

      um gestohlene Passwörter zu stehlen.

    • Browser-Cookies stehlen und ändern. Dazu verwendet der Wurm das in den Browser Mozilla Firefox eingebaute Modul "sqlite".
    • Die in den Abschnitten "Installation" und "Weitergabe" beschriebenen Aktionen. Der Wurm tauscht mit dem Server des böswilligen Benutzers Nachrichten des folgenden Typs aus:
      
      
      
      Scan gestoppt
      
      
      
      Scannen läuft
      
      
      
      Der Scanvorgang wurde gestartet
      
      
      
      KB-Daten gesendet: <Nummer>
      
      
      
      SYN-Pakete gesendet: <Nummer>
      
      
      
      Hochwasser läuft
      
      
      
      flood gestoppt: <string>
      
      
      
      Überschwemmung: <string>
      
      
      
      Laufwerk infiziert: <string>
      
      
      
      USB-Spreader läuft
      
      
      
      P2P Kopiere nach: <string>
      
      
      
      MSN-Spreader läuft
      
      
      
      MSN spread gestartet, link: <string> MSN-Link gesendet
      
      
      
      
    • Auf Befehl des böswilligen Benutzers ist es auch möglich, die Datei "hosts" zu ersetzen:
       % System% Treiberaufrufe 

      Zum Zeitpunkt des Schreibens reagierte der Server des böswilligen Benutzers nicht.


Link zum Original