Win32.Gokar.A@mm - Virensignatur

Symptome :

Technische Beschreibung:

Dieser Wurm verbreitet sich mit drei Methoden:
- über Outlook versendet er infizierte Emails
- über mIRC Client sendet er sich an die Personen, die mit dem Opfer chatten
- er modifiziert die Default Webpage von IIS Servern.
Um nicht entdeckt zu werden, versucht der Virus einige Antiviren Programme zu schließen.
Nach der Ausführung kopiert sich der Virus in die Windows Directory under the name KAREN.EXE mit folgenden Namen: tgfdfg, jhfxvc, cgfd2, trevc, t6tr, ffdasf, glkfh, fhjdv, qesac, kujzv, weafs, twat, rewfd, gfdsf, hgbv, fdsc, p0olik, 3tgf, rf43dr, t54refd, ut545a, r4354gkjw, vgrewu, xw54re, y343rv, z3vdf
und mit eine oder mehreren Endungen: .pif, .scr, .exe, .com, .bat Beispiel: glkfhglkfhglkfh142125362725glkfh.exe Diese Datei wird an die infizierte Datei angehängt und verschickt an alle Kontakte im Outlook Address Book.
Wenn die Directory c:\mirc existiert, legt der Virus die Datei script.ini ab, der den Virus an alle Personen zu verschicken sucht, die mit dem Opfer chatten.
Wenn der Virus den Ordner C:\Inetpub\wwwroot (der default Ordner für IIS Web service) findet, kopiert er die Datei default.htm als redesi.htm und überschreibt die Default page, und wenn diese Seite erreicht wird, wird der Browser versuchen, die Datei Web.exe runterzuladen und sich dort zu kopieren.
Als destruktive Aktion auf IIS Servern vernichtet er die original Default Webpage, wenn er das zweite mal ausgeführt wird.

Entfernung:

[ Zurück zum Anfang ]