WORM_PALEVO.ARL

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\jusched.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java developer Script Browse = %Windows%\jusched.exe

Andere Systemänderungen

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(Note: The default value data of the said registry entry is 2.)

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Me ssenger 7.0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{Malware Path and File Name} = {Malware Path and File Name}:*:Enabled:1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 7.0

Verbreitung

Versendet Eigenkopien an Zielempfänger über die folgenden Instant-Messaging-Anwendungen:

• Yahoo! Messenger
• MSN Messenger
• Skype

Backdoor-Routine

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• nuevo.{BLOCKED}ardigital.com
• server1.{BLOCKED}ootmusic.com

Adware-Routine

Verbindet sich mit den folgenden URLs, um Werbung herunterzuladen und anzuzeigen:

• http://browseusers.{BLOCKED}ce.com/Browse/Browse.aspx
• http://x.{BLOCKED}cecdn.com
• http://js.{BLOCKED}cecdn.com
• http://c3.ac-images.{BLOCKED}cecdn.com
• http://p.ic.{BLOCKED}t.com
• http://{BLOCKED}.{BLOCKED}.36.96/index.php

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• This worm attempts to establish connection to the following remote host on port 80:
  • {BLOCKED}.{BLOCKED}.38.168
  • {BLOCKED}.{BLOCKED}.36.96
  • {BLOCKED}.{BLOCKED}.80.58
  • {BLOCKED}.{BLOCKED}.86.23
  • {BLOCKED}.{BLOCKED}.86.30
  • {BLOCKED}.{BLOCKED}.86.37
  • {BLOCKED}.{BLOCKED}.131.147
  • {BLOCKED}.{BLOCKED}.131.148
  • {BLOCKED}.{BLOCKED}.131.149
  • {BLOCKED}.{BLOCKED}.131.150
  • {BLOCKED}.{BLOCKED}.131.156
  • {BLOCKED}.{BLOCKED}.131.163
  • {BLOCKED}.{BLOCKED}.131.174
  • {BLOCKED}.{BLOCKED}.131.181
  • {BLOCKED}.{BLOCKED}.131.182
  • {BLOCKED}.{BLOCKED}.131.187
  • {BLOCKED}.{BLOCKED}.71.154
  • {BLOCKED}.{BLOCKED}.71.166
• It tries to open port 2345 in an attempt to join any of the following IRC server:
  • server1.{BLOCKED}ootmusic.com
  • nuevo.{BLOCKED}ardigital.com
• It uses the following credentials to join the IRC server:

  PASS xxx
  NICK NEW-[USA|00|P|83944] USER XP-5814 * 0 :{Computer Name}

• Once a successful connection is established, it sends the following message that contains a link pointing to a copy of itself:

  #gf! :.m.s|.m.e is this you on pic?