VB.EX3
Der Wurm VB.EX3 ist zurzeit per E-Mail unterwegs und lockt wieder mal mit einer Nachricht für Sie im Anhang. Nach einem Doppelklick auf die im Anhang befindliche Datei, werden jedoch keine Informationen über ein Schreiben angezeigt, stattdessen installiert sich der Wurm auf dem betreffenden System.
Die E-Mail hat folgendes Aussehen
Betreff: hello
Dateianhang: thisfile %siebenstellige zufällige Buchstabenkombination%.
Größe des Dateianhangs: 133.632 Bytes
E-Mail-Text: „please read again what i have written to you”.
Betroffene Betriebssysteme: Alle Windows-Versionen.
Installation auf dem System:
Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "%zufällige Buchstabenkombination%"="%SYSDIR%\%zufällige Buchstabenkombination%.exe"
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "%zufällige Buchstabenkombination%"="%WINDIR%\%zufällige Buchstabenkombination%.exe"
Die Werte der folgenden Registryschlüssel werden gelöscht:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "avgnt"
• "drv_st_key"
• "norman_zanda"
• "MSMSG"
• "Winamp"
• "Word"
• "Driver"
• "WinUpdateSupervisor"
• "Task"
• "dago"
• "SMA_nya_Artika"
• "Putri_Indonesia"
• "BabelPath"
• "Alumni Smansa"
• "ViriSetup"
• "SMAN1_Pangkalpinang"
• "Putri_Bangka"
• "SysYuni"
• "SysDiaz"
• "SysRia"
• "Pluto"
• "DllHost"
• "SaTRio ADie X"
• "Tok-Cirrhatus"
• "AllMyBallance"
• "MomentEverComes"
• "TryingToSpeak"
• "YourUnintended"
• "YourUnintendes"
• "lexplorer"
• "dkernel"
• "Bron-Spizaetus"
• "ADie suka kamu"
• "winfix"
• "templog"
• "service"
• "Grogotix"
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "avgnt"
• "drv_st_key"
• "norman_zanda"
• "MSMSG"
• "Winamp"
• "Word"
• "Driver"
• "WinUpdateSupervisor"
• "Task"
• "dago"
• "SMA_nya_Artika"
• "Putri_Indonesia"
• "BabelPath"
• "Alumni Smansa"
• "ViriSetup"
• "SMAN1_Pangkalpinang"
• "Putri_Bangka"
• "SysYuni"
• "SysDiaz"
• "SysRia"
• "Pluto"
• "DllHost"
• "SaTRio ADie X"
• "Tok-Cirrhatus"
• "AllMyBallance"
• "MomentEverComes"
• "TryingToSpeak"
• "YourUnintended"
• "YourUnintendes"
• "lexplorer"
• "dkernel"
• "Bron-Spizaetus"
• "ADie suka kamu"
• "winfix"
• "templog"
• "service"
• "Grogotix"
Folgende Registryschlüssel werden geändert:
– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Alter Wert:
• "Shell"="Explorer.exe"
Neuer Wert:
• "Shell"="explorer.exe, "%WINDIR%\%zufällige Buchstabenkombination%\%zufällige Buchstabenkombination%.exe""
– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
Alter Wert:
• "load"=""
Neuer Wert:
• "load"=""%WINDIR%\%zufällige Buchstabenkombination%\%zufällige Buchstabenkombination%.com""
Verschiedenste Einstellungen des Explorers:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
Alter Wert:
• "Hidden"=%Einstellungen des Benutzers%
• "HideFileExt"=%Einstellungen des Benutzers%
• "ShowSuperHidden"=%Einstellungen des Benutzers%
Neuer Wert:
• "Hidden"=dword:00000000
• "HideFileExt"=dword:00000001
• "ShowSuperHidden"=dword:00000000
– [HKCR\scrfile]
Alter Wert:
• @="Screen Saver"
Neuer Wert:
• @="File Folder"
– [HKCR\exefile]
Alter Wert:
• @="Application"
Neuer Wert:
• @="File Folder"
– [HKLM\SOFTWARE\Classes\exefile]
Alter Wert:
• @="Application"
Neuer Wert:
• @="File Folder"
Deaktiviere Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
Alter Wert:
• "Start"=%Einstellungen des Benutzers%
Neuer Wert:
• "Start"=dword:00000000
Verschiedenste Einstellungen des Explorers:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
Folder\SuperHidden]
Alter Wert:
• "UncheckedValue"=%Einstellungen des Benutzers%
Neuer Wert:
• "UncheckedValue"=dword:00000000
– [HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
Alter Wert:
• "DisableConfig"=%Einstellungen des Benutzers%
• "DisableSR"=%Einstellungen des Benutzers%
Neuer Wert:
• "DisableConfig"=dword:00000001
• "DisableSR"=dword:00000001
– [HKLM\SYSTEM\ControlSet001\Control\SafeBoot]
Alter Wert:
• "AlternateShell"="cmd.exe"
Neuer Wert:
• "AlternateShell"="%zufällige Buchstabenkombination%.exe"
– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\msconfig.exe]
Neuer Wert:
• "debugger"="%WINDIR%\notepad.exe"
– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\regedit.exe]
Neuer Wert:
• "debugger"="%WINDIR%\%zufällige Buchstabenkombination%\regedit.cmd"
– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\rstrui.exe]
Neuer Wert:
• "debugger"="%WINDIR%\notepad.exe"
Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut.
Es wird versucht folgende Information zu klauen:
– Nachdem Tastaturanschläge welche mit einer der folgenden Zeichenketten übereinstimmen gedrückt wurden wird eine Protokollfunktion gestartet:
• Friendster
• yahoo
• gmail
• login
• bank
• hotmail
– Aufgezeichnet wird:
• Tastaturanschläge
