WORM_YAHLOVER.LJ

Wird durch das Anschließen infizierter Wechsellaufwerke auf ein System übertragen. Wird durch den Zugriff auf infizierte Freigabenetzwerke übertragen. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt. Verwendet das Standardsymbol für einen Windows-Ordner, um Benutzer zum Öffnen der Datei zu verleiten. Durch Doppelklicken auf die Datei wird die Malware ausgeführt.

Deaktiviert Task-Manager, Registrierungseditor

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Übertragungsdetails

Wird durch das Anschließen infizierter Wechsellaufwerke auf ein System übertragen.

Wird durch den Zugriff auf infizierte Freigabenetzwerke übertragen.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• {install directory}\system3_.exe

Schleust die folgenden Dateien ein:

• {install directory}\autorun.ini - copy of autorun.inf
• %Windows%\Tasks\At1.job

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt.

Verwendet das Standardsymbol für einen Windows-Ordner, um Benutzer zum Öffnen der Datei zu verleiten. Durch Doppelklicken auf die Datei wird die Malware ausgeführt.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Yahoo Messengger = "{install directory}\system3_.exe"

Die zeitgesteuerte Aufgabe führt die Malware in folgenden Intervallen aus:

• 9:00 AM

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = "0"

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Search_URL = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Page_URL = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Search Page = "{URL}"

(Note: The default value data of the said registry entry is {user defined value}.)

Erstellt den oder die folgenden Registrierungseinträge, um Task-Manager, Registrierungs-Tools und Ordneroptionen zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

Verbreitung

Sucht nach Ordnern in allen Festplatten- und Wechsellaufwerken, um dort Kopien von sich selbst innerhalb des Ordner als {Ordnername}.EXE.

Schleust folgende Kopien von sich selbst in alle physischen und Wechsellaufwerke ein:

• New Folder.exe

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[Autorun]
Shell\Open\command={malware filename}.exe
Shell=Open

Versendet die folgenden Nachrichten über die zuvor erwähnten Instant-Messaging-Anwendungen:

happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks from URL
happy valentine day screen saver and beautiful screen saver from lovers http://{BLOCKED}gle. 0catch. com/love.scr and URL
golden lovers rose screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and see more from URL
rose is always red ,see in http://{BLOCKED}gle. 0catch. com/love.scr screen saver from URL
happy valentine day screen saver from http://{BLOCKED}gle.0catch. com/love.scr and get new tips and tricks from URL
I LOVE YOUUUUUUUUUUUUU from screensaver http://{BLOCKED}gle. 0catch. com/love.scr see more in URL happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks from URL
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and get new tips and tricks for lovers URL
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and view secrets from private cam BIN
happy valentine day screen saver from http://{BLOCKED}gle. 0catch. com/love.scr and view secrets from private cam BIN

Versendet Nachrichten mit Links zu Sites mit externen Eigenkopien über die folgenden Instant-Messaging-Anwendungen:

• Yahoo Messenger
• Google Talk

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• game_y.exe
• cmd.exe