PE_SALITY.SM-O

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Diese Malware hat keine Backdoor-Routine.

Ändert Zoneneinstellungen von Internet Explorer.

Installation

Schleust folgende Dateien/Komponenten ein:

• %System%\drivers\{random}.sys

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• uxJLpe1m
• Ap1mutx7

Andere Systemänderungen

Löscht die folgenden Dateien:

• %User Temp%\win{random}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt folgende Zeilen/Einträge zur Datei SYSTEM.INI hinzu:

• [MCIDRV_VER]
• DEVICEMB={Random Numbers}

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc

HKEY_CURRENT_USER\Software\{random}

HKEY_CURRENT_USER\Software\{random}\
{random value}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\{random}
{1st Letter of Username}{Num}_{Num} = "{DWORD}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_CURRENT_USER\Software\{random}\
{random value}
{random value} = "{value}"

HKEY_CURRENT_USER\Software\{random}\
{random value}
{random value} = "0"

HKEY_CURRENT_USER\Software\{random}\
{random value}
{random value} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:enabled:ipsec"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(Note: The default value data of the said registry entry is 1.)

Löscht die folgenden Registrierungsschlüssel:

HKEY_CURRENT_USER\System\CurrentControlSet\
Control\SafeBoot

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\ProfileList

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Ext\
Stats

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Ext\
Stats

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .EXE
• .SCR

Vermeidet es, Dateien zu infizieren, deren Name diese Zeichenfolgen enthält:

• DAEMON.
• NOTEPAD.EXE
• WINMINE.EXE

Verbreitung

Schleust folgende Kopien von sich selbst in alle physischen und Wechsellaufwerke ein:

• {Random Filename}.{exe/pif/cmd}

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

Note: The order of autorun.inf strings may vary and may contain a combination of uppercase and lowercase letters.
[AutoRun]
;{garbage characters}
shell\open\default = 1
;{garbage characters}
open = {Random Filename}.{exe/pif/cmd}
;{garbage characters}
shell\open\command = {Random Filename}.{exe/pif/cmd}
;{garbage characters}
shell\explore\command = {Random Filename}.{exe/pif/cmd}
;{garbage characters}
shell\autoplay\command = {Random Filename}.{exe/pif/cmd}
;{garbage characters}

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• AVPM.
• A2GUARD
• A2CMD.
• A2SERVICE.
• A2FREE
• AVAST
• ADVCHK.
• AGB.
• AKRNL.
• AHPROCMONSERVER.
• AIRDEFENSE
• ALERTSVC
• AVIRA
• AMON.
• TROJAN.
• AVZ.
• ANTIVIR
• APVXDWIN.
• ARMOR2NET.
• ASHAVAST.
• ASHDISP.
• ASHENHCD.
• ASHMAISV.
• ASHPOPWZ.
• ASHSERV.
• ASHSIMPL.
• ASHSKPCK.
• ASHWEBSV.
• ASWUPDSV.
• ASWSCAN
• AVCIMAN.
• AVCONSOL.
• AVENGINE.
• AVESVC.
• AVEVAL.
• AVEVL32.
• AVGAM
• AVGCC.
• AVGCHSVX.
• AVGCSRVX.
• AVGNSX.
• AVGCC32.
• AVGCTRL.
• AVGEMC.
• AVGFWSRV.
• AVGNT.
• AVCENTER
• AVGNTMGR
• AVGSERV.
• AVGTRAY.
• AVGUARD.
• AVGUPSVC.
• AVGWDSVC.
• AVINITNT.
• AVKSERV.
• AVKSERVICE.
• AVKWCTL.
• AVP.
• AVP32.
• AVPCC.
• AVAST
• AVSERVER.
• AVSCHED32.
• AVSYNMGR.
• AVWUPD32.
• AVWUPSRV.
• AVXMONITOR
• AVXQUAR.
• BDSWITCH.
• BLACKD.
• BLACKICE.
• CAFIX.
• BITDEFENDER
• CCEVTMGR.
• CFP.
• CFPCONFIG.
• CCSETMGR.
• CFIAUDIT.
• CLAMTRAY.
• CLAMWIN.
• CUREIT
• DEFWATCH.
• DRVIRUS.
• DRWADINS.
• DRWEB
• DEFENDERDAEMON
• DWEBLLIO
• DWEBIO
• ESCANH95.
• ESCANHNT.
• EWIDOCTRL.
• EZANTIVIRUSREGISTRATIONCHECK.
• F-AGNT95.
• FAMEH32.
• FILEMON
• FIREWALL
• FORTICLIENT
• FORTITRAY.
• FORTISCAN
• FPAVSERVER.
• FPROTTRAY.
• FPWIN.
• FRESHCLAM.
• EKRN.
• FSAV32.
• FSAVGUI.
• FSBWSYS.
• F-SCHED.
• FSDFWD.
• FSGK32.
• FSGK32ST.
• FSGUIEXE.
• FSMA32.
• FSMB32.
• FSPEX.
• FSSM32.
• F-STOPW.
• GCASDTSERV.
• GCASSERV.
• GIANTANTISPYWARE
• GUARDGUI.
• GUARDNT.
• GUARDXSERVICE.
• GUARDXKICKOFF.
• HREGMON.
• HRRES.
• HSOCKPE.
• HUPDATE.
• IAMAPP.
• IAMSERV.
• ICLOAD95.
• ICLOADNT.
• ICMON.
• ICSSUPPNT.
• ICSUPP95.
• ICSUPPNT.
• IPTRAY.
• INETUPD.
• INOCIT.
• INORPC.
• INORT.
• INOTASK.
• INOUPTNG.
• IOMON98.
• ISAFE.
• ISATRAY.
• KAV.
• KAVMM.
• KAVPF.
• KAVPFW.
• KAVSTART.
• KAVSVC.
• KAVSVCUI.
• KMAILMON.
• MAMUTU
• MCAGENT.
• MCMNHDLR.
• MCREGWIZ.
• MCUPDATE.
• MCVSSHLD.
• MINILOG.
• MYAGTSVC.
• MYAGTTRY.
• NAVAPSVC.
• NAVAPW32.
• NAVLU32.
• NAVW32.
• NEOWATCHLOG.
• NEOWATCHTRAY.
• NISSERV
• NISUM.
• NMAIN.
• NOD32
• NORMIST.
• NOTSTART.
• NPAVTRAY.
• NPFMNTOR.
• NPFMSG.
• NPROTECT.
• NSCHED32.
• NSMDTR.
• NSSSERV.
• NSSTRAY.
• NTRTSCAN.
• NTOS.
• NTXCONFIG.
• NUPGRADE.
• NVCOD.
• NVCTE.
• NVCUT.
• NWSERVICE.
• OFCPFWSVC.
• OUTPOST
• ONLINENT.
• OPSSVC.
• OP_MON.
• PAVFIRES.
• PAVFNSVR.
• PAVKRE.
• PAVPROT.
• PAVPROXY.
• PAVPRSRV.
• PAVSRV51.
• PAVSS.
• PCCGUIDE.
• PCCIOMON.
• PCCNTMON.
• PCCPFW.
• PCCTLCOM.
• PCTAV.
• PERSFW.
• PERTSK.
• PERVAC.
• PESTPATROL
• PNMSRV.
• PREVSRV.
• PREVX
• PSIMSVC.
• QUHLPSVC.
• QHONLINE.
• QHONSVC.
• QHWSCSVC.
• QHSET.
• RFWMAIN.
• RTVSCAN.
• RTVSCN95.
• SALITY
• SAPISSVC.
• SCANWSCS.
• SAVADMINSERVICE.
• SAVMAIN.
• SAVPROGRESS.
• SAVSCAN.
• SCANNINGPROCESS.
• SDRA64.
• SDHELP.
• SHSTAT.
• SITECLI.
• SPBBCSVC.
• SPHINX.
• SPIDERCPL.
• SPIDERML.
• SPIDERNT.
• SPIDERUI.
• SPYBOTSD.
• SPYXX.
• SS3EDIT.
• STOPSIGNAV.
• SWAGENT.
• SWDOCTOR.
• SWNETSUP.
• SYMLCSVC.
• SYMPROXYSVC.
• SYMSPORT.
• SYMWSC.
• SYNMGR.
• TAUMON.
• TBMON.
• TMLISTEN.
• TMNTSRV.
• TMPROXY.
• TNBUTIL.
• TRJSCAN.
• VBA32ECM.
• VBA32IFS.
• VBA32LDR.
• VBA32PP3.
• VBSNTW.
• VCRMON.
• VPTRAY.
• VRFWSVC.
• VRMONNT.
• VRMONSVC.
• VRRW32.
• VSECOMR.
• VSHWIN32.
• VSMON.
• VSSERV.
• VSSTAT.
• WATCHDOG.
• WEBSCANX.
• WINSSNOTIFY.
• WRCTRL.
• XCOMMSVR.
• ZLCLIENT
• ZONEALARM

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.