WORM_DORKBOT.ACM

Wird ausgeführt und löscht sich dann selbst.

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verbindet sich mit IRC-Servern (Internet Relay Chat).

Installation

Wird ausgeführt und löscht sich dann selbst.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• djQPssJO4SAQzkgw
• acddww

Injiziert Threads in die folgenden normalen Prozesse:

• Explorer.exe

Verbreitung

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
shellexecute={Random File Name}.exe
action=Open folder to view files
useautoplay=1
icon=shell32.dll,7
shell\explore\command={Random File Name}.exe
shell\open\command={Random File Name}.exe

Backdoor-Routine

Öffnet folgende Ports und wartet dort auf Remote-Befehle:

• TCP 3800

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• {BLOCKED}5.{BLOCKED}8.5.139

Wählt sich in einen oder mehrere der folgenden IRC-Kanäle ein:

• #ng