DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

P2P-Worm.Win32.Gotorm

Kategorie P2P-Worm
Plattform Win32
Beschreibung

Technische Details

Dies ist ein Wurmvirus. Es verbreitet sich über das Peer-to-Peer-Netzwerk Kazaa. Darüber hinaus führt es einige Spionage-Funktionen aus und sammelt Daten zu bestimmten Spielen, die auf dem betroffenen PC installiert sind. Dieser Wurm ist eine Windows-Anwendung (PE EXE-Datei). Es ist in Visual C geschrieben und seine Größe beträgt 196 608 Bytes.

Installation

Während der Installation erzeugt der Wurm folgende falsche Fehlermeldung bezüglich der Archivextraktion:

WinZip Self-Extractor, WinZip Self-Extractor Header beschädigt. Mögliche Ursache: Fehler bei der Datenträger- oder Dateiübertragung.

Anschließend schreibt es sich unter dem folgenden Namen in das Windows-Verzeichnis:

mrowyekdc.exe

Diese Installation des Wurms wird dann im Auto Run Key in der Systemregistrierung registriert:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun
  SVCHOST =% WindowsDir% mrowyekdc.exe 

Verbreitung

Der Wurm erstellt einen Ordner namens "Benutzerdateien" im Windows-Verzeichnis und schreibt sich selbst unter den folgenden Namen in ihn ein:

Starcraft + Broodwar 1.10 Karte hack.exe
Starcraft + Broodwar 1.10 keine-cd hack.exe
Diablo 2 Karte hack.exe
Diablo 2 keine-cd hack.exe
Jamellas Diablo 2 held editor.exe
Warcraft 3 Karte hack.exe
Warcraft 3-Statistik hack.exe
Warcraft 3 no-cd hack.exe
Warcraft 3 Frozen Throne Karte hack.exe
Warcraft 3 Frozen Thron CD-CD hack.exe
Der gefrorene Thron map hack.exe
Gegenschlag hacks.exe
Counterstrike Ziel hack.exe

Dieser Ordner wird dann in der Windows-Systemregistrierung als Lokaler Inhalt für das Datenaustauschnetzwerk Kazaa vermerkt:

 HKCUSoftwareKazaaLocalContent
  dir0 = 012345:% Windir% Benutzerdateien
  DisableSharing = "0 

Dadurch werden die in diesem Ordner enthaltenen Dateien für andere Benutzer von P2P-Netzwerken zum Herunterladen verfügbar.

Spion-Funktion

Der Wurm überprüft die Systemregistrierung auf Schlüssel zu beliebten Computerspielen (Counter Strike, Diablo, Warcraft, Starcraft) und sendet über eine SMTP-Server-Verbindung gesammelte Daten an den "Besitzer" des Wurms.

Sonstiges

Der Wurm überprüft Datum und Uhrzeit des Systems. Wenn der Monat der Aktivierung des Wurms vor August liegt, hört er auf, seine Funktionen auszuführen, und löscht alle Einträge in der Systemregistrierung.


Link zum Original