w32.BeepBeep.A - Virensignatur

Symptome :

Technische Beschreibung:

BeepBeep.A ist ein Wurm , der Kopien von sich in vielen Ordner des betroffenen Computers erstellt, beispielsweise in ’Meine Dokumente’, ’Meine Bilder’ und ’My Music’ und andere. Der Name der Kopie ist der gleiche wie der des Ordners und hat eine EXE-Endung.

Außerdem führt er bestimmte Veränderungen in der Windowsdatenbank durch, die den User daran hindern, folgende Aktionen durchzuführen:
• Schnelles und gezieltes Suchen, da die Option ’Suche’ des Start Menüs ausgeschaltet wurde
• Schnelles und zielgerichtetes Abspielen bzw. Zugreifen auf Dateien, da die Option ‚Run’ des Start Menüs ausgeschaltet ist
• Beobachten der aktuellen Prozesse über den Task Manager

BeepBeep.A verbreitet sich durch folgende Mittel:
• P2P-Programme, welche pornographische Dateinamen benutzen
• mIRC-Programm
• Laufwerke, die austauschbar sind und von mehreren Benutzern genutzt werden

Sichtbare Symptome:
BeepBeep.A ist nicht einfach zu erkennen, da weder Nachrichten oder Warnungen anzeigt werden, die darauf hinweisen, dass der Virus den Computer erreicht hat.
Trotzdem kann er leicht erkannt werden, da der Computer ein „Beep“-Geräusch von sich gibt, sobald der User auf die Windowsdatenbank oder das Windowssystemverzeichnis zugreift.

Technische Details:

Wirkungen:
BeepBeep.A führt folgende Aktionen durch:
• Nach der Öffnung des Virus, erstellt er Kopien von sich in vielen Ordner des betroffenen Computers, beispielsweise in ‚Meine Dokumente’, ‚Meine Bilder’ und ‚My Music’ und andere. Der Name der Kopie ist der gleiche wie der des Ordners und hat eine EXE-Endung.
• Der Computer macht ein „Beep“-Geräusch, sobald der User auf die Windowsdatenbank oder das Windowssystemverzeichnis zugreift.
• Folgende Objekte werden abgebrochen:
- Windows Registry Editor
- Task Manager, was dem User nicht mehr ermöglicht, laufende Prozesse einzusehen
- ‚Suche’ des Start Menüs, was schnelles und zielgerichtetes Suchen ermöglicht
- ‚Run’ des Start Menüs, was schnelles und zielgerichtetes Abspielen bzw. Zugreifen auf Dateien ermöglicht

• Der Virus hindert Programme, die auch nur einen dieser Stichworte beinhalten:
alarm
antivir
avast
cmd.exe
configuration
dllhost
firewall
folder options
format
kasper
mcafee
nod32
setup
share
spyware
symantec
sysinternal
System
system restore
system32
task manager
virus
Die meisten dieser Dateien gehören zu Sicherheitsprogrammen. Der Computer ist also so für die Malware angreifbar.

Ansteckungstaktik:
BeepBeep.A erstellt folgende Dateien, die Kopien des Wurms sind:
• DLLHOST.COM, im Unterordner ‚System’ des Windowsverzeichnis.
• SVCCH0ST.EXE, im Windowssystemverzeichnis
• www. %computer name%.com, im Ordner ‚Favoriten’ und im ‚Startup’ Verzeichnis, um sicher zu stellen, dass der Virus immer dann aktiviert wird, wenn Windows gestartet wird.

BeepBeep.A erstellt folgende Einträge in der Windowsdatenbank:
• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Microsoft Agent = %sysdir%\SVCH0ST.EXE
Wobei %sysdir% das Windowssystemverzeichnis ist.
Dieser Eintrag stellt sicher, dass BeepBeep.A immer dann aktiviert wird, wenn Windows gestartet wird.

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableRegistryTools = 01, 00, 00, 00
Damit wird der Task Manager ausgeschaltet.

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoFind = 1
Damit wird die Option ‘Suche’ nicht im Start Menü angezeigt.

• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoRun = 1
Damit wird die Option ‘Run’ nicht im Start Menü angezeigt.

BeepBeep.A verändert folgende Einträge in der Windowsdatenbank:
• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon
Shell = Explorer.exe
wird zu:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon
Shell = Explorer.exe, %sysdir%\SVCH0ST.EXE
• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Windows
load
wird zu:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Windows
load = %windir%\system\dllhost.com
Wobei %windir% das Windowsverzeichnis ist.
Diese Veränderungen stellen sicher, dass der Virus immer dann aktiviert wird, wenn Windows gestartet wird.

Entfernung:

[ Zurück zum Anfang ]