Worm.Win32.IPPEDO.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden. Löscht Registrierungseinträge, so dass einige Anwendungen und Programme nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System Root%\Google\{Malware Name}
• {Drive}\Skypee\{Malware Name}

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Schleust die folgenden Dateien ein:

• %System Root%\Google\Windowsupdate.lnk
• %System Root%\Google\GoogleUpdate.lnk

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Fügt die folgenden Prozesse hinzu:

• %comspec /c SystemInfo → when executed in Windows 7 or Windows XP

Erstellt die folgenden Ordner:

• %System Root%\Google
• {Drive}\Skypee

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• googleupdate

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• combination of the following processes
  • avp.exe, zonealarm.exe, and avguard.exe
  • tcpview.exe, procmon.exe, and nod32kui.exe
  • kavmm.exe, procmon.exe, and fsbwsys.exe
  • vmacthlp.exe, avp.exe, and kavsvc.exe
• VBoxService.exe
• VBoxTray.exe
• guninraik.exe
• SbieSvc.exe
• VMwareTray.exe
• VMwareUser.exe
• VMwareService.exe
• VMwareUser.exe
• FortiTracer.exe
• vmacthlp.exe
• vmtoolsd.exe
• BehaviorDumper.exe
• FakeHTTPServer.exe
• FakeServer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = %System Root%\Google\{Malware Name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = %System Root%\Google\{Malware Name}

Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• Windowsupdate.lnk
• GoogleUpdate.lnk

Andere Systemänderungen

Löscht die folgenden Dateien:

• googleupdate.vbs

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = “0”

(Note: The default value data of the said registry entry is The default value data of the said registry entry is {User Preference}.)

Löscht die folgenden Registrierungseinträge:

HKEY_CLASSES_ROOT\lnkfile
IsShortcut =

Verbreitung

Erstellt den folgenden Ordner auf allen Festplatten- und Wechsellaufwerken:

• {Drive}\Skypee

Datendiebstahl

Folgende Daten werden gesammelt:

• Malware ID
• Computer Home Drive
• Computer Name
• Username
• OS Version
• OS Architecture
• Webcam Info("Yes" or "No")
• Malware Version
• Installed AV software
• Active Window Title

Andere Details

Es macht Folgendes:

• It terminates itself if system information contains the following strings:
  • Bochs
  • innotek
  • VMware
• It terminates itself if the following folders are present:
  • C:\CWSandbox
  • C:\python26
  • C:\cuckoo
• It terminates itself if the malware is executed in the following directories:
  • C:\virus
  • C:\
• It terminates itself if malware name meets the following conditions:
  • contains "artifact" string
  • contains "sample" string
  • Malware Filename does not contain "."
  • Malware Filename length exceeds 35
  • Malware Filename starts with 7 or more numbers
• It terminates itself if the following process is not present:
  • explorer.exe
• Drops copy of the files and folders in malware path to the following folder:
  • {Drive}\Skypee
• It creates the following shortcut (.LNK) files in removable drives that points to its copy:
  • My Games
  • My Pictuers
  • My Videos
  • Hot
  • Downloads
  • Movies
  • Skypee\Skypee
• It also creates shortcut (.LNK) files using folder names as its filename in folders in all of the drives that points to its copy.