P2P-Worm.Win32.Benjamin

Dieser Wurm nutzt das Kazaa File Exchange P2P-Netzwerk, um sich zu verbreiten. Das Kazaa-Netzwerk ermöglicht seinen Benutzern den Austausch von Dateien untereinander mithilfe der Kazaa-Client-Software. Um mehr über das Kazaa-Netzwerk zu erfahren, besuchen Sie die Website unter: http://www.kazaa.com .

Benjamin ist in Borland Delphi geschrieben und ist ungefähr 216 Kb groß – es wird vom AsPack-Dienstprogramm komprimiert. Die Größe einer Datei kann stark variieren, da der Wurm jede Datei mit "Staub" zum Maskieren beendet.

Installation

Erstens zeigt der Wurm einen falschen Fehlerbericht:

Benjamin kopiert sich dann in das Verzeichnis% WinDir% SYSTEM als

EXPLORER.SCR

und erstellt zwei Schlüssel in der Systemregistrierung:

[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun] "System-Dienst" = "C: WINDOWS SYSTEM EXPLORER.SCR" [HKEY_LOCAL_MACHINESoftwareMicrosoft] "syscod" = "0065D7DB20008306B6A1"

Der Wurm wird ausgeführt, nachdem das System neu gestartet wurde.

Verbreitung

Die Verbreitung kann höchstwahrscheinlich nur stattfinden, wenn der KaZaa P2P Client (Software) installiert ist. Benjamin liest die Systemregistrierung nach Informationen über den Kasaa Client und erstellt die

% WinDir% TempSys32

Verzeichniskatalog, der sich als das für alle KaZaa-Netzwerkbenutzer zugängliche Verzeichnis registriert. Es füllt dieses Verzeichnis mit Kopien von sich, die unter zahlreichen verschiedenen Namen aus einer Liste aufgelistet sind, die im Körper des Wurms enthalten ist.

Die Verteilung erfolgt wie folgt. Ein "Opfer", der nach einer Datei im KaZaa-Netzwerk sucht, findet sie in der Liste der zugänglichen Dateien auf dem bereits infizierten Computer. Wenn ein Problem nicht vermutet wird, lädt der Benutzer diese Datei herunter und öffnet sie, wodurch sie ihren eigenen Computer infiziert.

Auswirkungen

Der Wurm öffnet die Website benjamin.xww.de, um eine Werbung anzuzeigen.