Win32.Zafi.D@mm - Virensignatur

Symptome :

Dateien mit wechselnden Namen bestehend aus 8 Ziffern jeweils bestehend aus extension .dll und einer extension .exe wie z.B. :Norton Update.exe
Viele der .dll-Dateien speichern Emailadressen. diese Dateien sind recht "klein" (etwa 1 kbyte)
Eine .dll sowie die dazugehörige .exe-Datei sind Kopien des Virus. Identivizieren kann man diese an der Grösse ( 11,745 byte ).

Der Task Manager sowie der Task Monitor arbeiten nicht mehr. Der Wurm hat diese Dienste abgeschaltet.

Wenn der Virus läuft, öffnet sich eine Fake Error Box mit folgendem Text:

"Error in packed file!"

- Präsenz in folgenden Registrierungsschlüsseln- und Einträgen:

[HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run\ "Wxp4"="%SYSTEM%\Norton Update.exe"]

[HKEY_LOCAL_MACHINE\Software\Microsoft\ _Wxp4]

Registrierungseinträge enthalten Informationen über die infizierten Computer und die genauen Namen der exe und der DLL-Dateien.

Technische Beschreibung:

Absender: spoofed

Betreffszeile der Mail:
Christmas Kort!
Christmas Vykort!
Christmas Postkort!
Christmas postikorti!
Christmas Atviruka!
Christmas - Kartki!
Weihnachten card.
Prettige Kerstdagen!
Christmas pohlednice

Mailinhalt: Eine Weihnachtskarte mit gelben Sternen sowie einiger Anhänge.

Bildergrösse: in etwai 11 KB

Eine der Mailanhänge führt den Virus aus und dieser wiederum macht folgendes:

1. Führt den "Wxp4" mutex aus, damit die Datei nicht mehrfach läuft

2. verhindert die Ausführung einiger Prozesse wie: reged, msconfig, task, (eg: regedit, taskman, taskmon, mstask, msconfig)

3. sucht nach Emailadressen in diesen Dateiendungen: htm, wab, txt, dbx, tbb, asp, php, sht, adb, mbx, eml, pmr, fpt, inb
vermeidet allerdings Emailadressen mit: yaho, google, win, use, info, help, admi, webm, micro, msn, hotm, suppor, syman, viru,trend,secur, panda, cafee, sopho, kasper

5. speichert gefundene Mailadressen wie oben beschrieben in den dll-Dateien innerhalb des Systemordners.

6. generiert Registrierungseinträge- und Schlüssel:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Wxp4]

[HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run \"Wxp4"="%SYSTEM%\ Norton Update.exe"]

7. Er nutzt seine eigene smtp-Engineum sich selbst über die gesammelten Emails zu verbreiten.

8. Generiert Kopien des Virus in Ordnern wie :"share", "upload" ,"music" als "winamp 5.7 new!.exe" oder "ICQ 2005a new!.exe"

9. generiert unter c:\s.cm diese Datei

Entfernung:

[ Zurück zum Anfang ]