Trojan.Win32.Menace

Technische Details

Dies ist ein Virus-Wurm, der sich über das Internet mit dem AOL-Client verbreitet. Der Wurm selbst ist eine Win32-Anwendung (PE-EXE-Datei) mit einer Größe von 86 KB und ist in VisualBasic 6.0 geschrieben.

Der Wurm kommt als SOFUNNY.EXE-Datei an, die an eine E-Mail-Nachricht angehängt ist, die einen von zwei Subjects und den gleichen Body enthält:

Betreff 1: Fwd: Das ist großartig! =)
Betreff2: Fwd: Das ist urkomisch! =)
Body: Ihr müsst das herunterladen! Das ist wirklich lustig!

Um sich zu verbreiten, wartet der Wurm, bis der AOL-Client aktiv ist, manipuliert die AOL-Funktionen, erhält Zugang zu Posteingangs-E-Mails und antwortet ihnen mit infizierten Nachrichten (Anmerkung: dies wurde im Labor nicht getestet).

Der Wurm verfügt auch über die Fähigkeit, Kennwörter zu stehlen und sendet AOL-Logins und Passwörter von infizierten Computern an seinen Host.

Wenn der Wurm ausgeführt wird (von einer infizierten Nachricht), wird eine falsche Fehlermeldung angezeigt:

Schwerwiegender Fehler # 6834
Ein unbekannter Fehler ist aufgetreten.

Der Wurm kopiert sich dann genau wie folgt in das Windows-Verzeichnis:

C: WINDOWSmsdos423.exe
C: WINDOWSSOFUNNY.exe

Eine dieser Dateien wird dann im auto-run Registrierungsschlüssel registriert:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun msdos423 = c: windowsmsdos423.exe

Der Wurm erstellt auch eine zusätzliche Datei C: WINDOWSmsdos423.ini und speichert sich dort selbst, zum Beispiel:

[Konfiguration]
Kopiert = Wahr
Gesendet = Wahr
Hochgeladen = Wahr

Der Wurm enthält auch die "copyright" -Textzeichenfolgen:

AOL PWS für Version 4, 5, & 6. Jetzt auch ein Wurm! Durch Bedrohung