WORM_IRCBOT.PHT

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Ändert Registrierungseinträge, um verschiedene Systemdienste zu deaktivieren. Dadurch können die meisten Systemfunktionen nicht verwendet werden.

Löscht die Dateien, die mit den Prozessen verknüpft sind, die beendet wurden. Dies wird durchgeführt, um Programme und Anwendungen vollständig zu deaktivieren.

Ändert die Startseite im Internet Explorer des Benutzers. Dadurch verweist die Malware auf eine Website, die möglicherweise Malware enthält, so dass sich das Infektionsrisiko des betroffenen Computers erhöht.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch folgender Websites heruntergeladen:

• http://{BLOCKED}raimg.com/photo.php?={random numbers}
• http://{BLOCKED}otoon.com/photo.php?={random numbers}

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\nvsvc32.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Nvidia Drive Mon

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Terminal Server\
Install\Software\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

Andere Systemänderungen

Ändert Registrierungseinträge, um die folgenden Systemdienste zu deaktivieren:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MsMpSvc
Start = 4

(Note: The default value data of the said registry entry is 2.)

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = %Windows%\nvsvc32.exe:Enabled:NVIDIA driver monitor

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• wuauserv
• MsMpSvc

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• msseces.exe

Löscht die Dateien, die mit den Prozessen verknüpft sind, die beendet wurden. Dies wird durchgeführt, um Programme und Anwendungen vollständig zu deaktivieren.

Änderung der Startseite von Webbrowser und Suchseite

Ändert die Startseite im Internet Explorer des Benutzers auf folgende Webseiten:

• http://{BLOCKED}ure.com

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It tries to connect to any of the following sites:
  
  • {BLOCKED}.{BLOCKED}.18.99
  • {BLOCKED}oshistory.info
  • {BLOCKED}e.pakibili.com
  • {BLOCKED}o.ic.ac.uk
  • {BLOCKED}e.lacoctelera.net
  • {BLOCKED}emccloskey.org
  • {BLOCKED}s.phoenix-cc.net
  • {BLOCKED}highered.com
  • {BLOCKED}lofaccountancy.com
  • {BLOCKED}ls.lww.com
  • {BLOCKED}s.0730ip.com
  • {BLOCKED}s.archivum.info
  • {BLOCKED}p.lvengine.com
  • {BLOCKED}astpost.org
  • {BLOCKED}rticles.com
  • {BLOCKED}rarticles.info
  • {BLOCKED}n.51.com
  • {BLOCKED}yle.com
  • {BLOCKED}e.info
  • {BLOCKED}r-uni-sw.eesp.ch
  • {BLOCKED}ationale.org
  • {BLOCKED}ed.com
  • {BLOCKED}k.com
  • {BLOCKED}etrafficspy.com
  • www.{BLOCKED}an.com
  • xxx.{BLOCKED}a.pl
• If the connection is succesful, the malware joins the channel #!nn! to send and receive information from its IRC C&C server. The malware could also download additional files and is saved as follows:
  
  • %Windows%\ndl.dl
  • %Windows%\wibrf.jpg
  • %Windows%\wiybr.png
  • %Windows%\ntdl.dl
• If the malware is not able to drop a copy of itself in %Windows% directory. It tries to drop a copy of itself as the following:
  
  • %Public%\nvsvc32.exe
  • %Program Files%\nvsvc32.exe
  
  (Note: %Public% is usually C:\Users\Public in Windows Vista and Windows 7. %Program Files% is the default Program Files folder, usually C:\Program Files.)
• The malware is capable of sending messages in Facebook, Yahoo! Messenger and Windows Live containing a link pointing to a copy of itself:
  
  • Foto :D http://{BLOCKED}otoon.com/photo.php?={random numbers}
• This malware also opens the page http://{BLOCKED}users.myspace.com/Browse/Browse.aspx