WORM_LEGMIR.GT
PWS:Win32/Lmir (Microsoft), PWS-LegMir (McAfee)
Windows 2000, Windows XP, Windows Server 2003
Malware-Typ:
Worm
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja
Überblick
Leitet Dateien durch Hinzufügen bestimmter Registrierungseinträge um. Dadurch kann diese Malware ausgeführt werden, auch wenn andere Anwendungen geöffnet sind.
Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.
Technische Details
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Program Files%\Common Files\iexplore.pif
- %Program Files%\Internet Explorer\iexplore.com
- %System%\command.pif
- %System%\dxdiag.com
- %System%\finder.com
- %System%\MSCONFIG.COM
- %System%\regedit.com
- %System%\rundll32.com
- %Windows%\1.com
- %Windows%\Debug\DebugProgram.exe
- %Windows%\ExERoute.exe
- %Windows%\explorer.com
- %Windows%\finder.com
- D:\pagefile.pif
- %Windows%\services.exe
Autostart-Technik
Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Torjan Program = "%Windows%\services.exe"
Leitet Dateien um, damit sie beim Zugriff auf bestimmte Dateitypen ausgeführt wird, indem sie die folgenden Einträge hinzufügt:
HKEY_CLASSES_ROOT\winfiles\Shell\
Open\Command
@ = "%Windows%\ExeRoute.exe "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\iexplore.pif\shell
@ = "%Program Files%\Common Files\iexplore.pif"
Andere Systemänderungen
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_CURRENT_USER\Software\VB and VBA Program Settings
HKEY_CLASSES_ROOT\winfiles
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\iexplore.pif\shell
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_CURRENT_USER\Software\Internet Explorer\
Main
Check_Associations = "No"
Ändert die folgenden Registrierungseinträge:
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
Applications\iexplore.exe\shell\
open\command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.lnk\ShellNew
Command = "%System%\rundll32.com appwiz.cpl,NewLinkHere %1"
(Note: The default value data of the said registry entry is %System%\rundll32.exe appwiz.cpl,NewLinkHere %1.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
cplfile\shell\cplopen\
command
@ = "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
(Note: The default value data of the said registry entry is rundll32.exe shell32.dll,Control_RunDLL "%1",%*.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
OpenHomePage\Command
@ = "%Program Files%\Internet Explorer\iexplore.com"
(Note: The default value data of the said registry entry is %Program Files%\Internet Explorer\iexplore.exe.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
Drive\shell\find\
command
@ = "SystemRoot%\explorer.com"
(Note: The default value data of the said registry entry is SystemRoot%\explorer.exe.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
dunfile\shell\open\
command
@ = "%System%\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
(Note: The default value data of the said registry entry is %System%\rundll32.exe NETSHELL.DLL,InvokeDunFile %1.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
ftp\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
htmlfile\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" -nohome.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
htmlfile\shell\opennew\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
HTTP\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" -nohome.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
inffile\shell\Install\
command
@ = "%System%\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
(Note: The default value data of the said registry entry is %System%\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1 .)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
InternetShortcut\shell\open\
command
@ = "finder.com shdocvw.dll,OpenURL %l"
(Note: The default value data of the said registry entry is rundll32.exe shdocvw.dll,OpenURL %l.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
scrfile\shell\install\
command
@ = "finder.com desk.cpl,InstallScreenSaver %l"
(Note: The default value data of the said registry entry is rundll32.exe desk.cpl,InstallScreenSaver %l.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
scriptletfile\Shell\Generate Typelib\
command
@ = ""%System%\finder.com" %System%\scrobj.dll,GenerateTypeLib "%1""
(Note: The default value data of the said registry entry is "%System%\rundl32.dll" %System%\scrobj.dll,GenerateTypeLib "%1".)
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
telnet\shell\open\
command
@ = "finder.com url.dll,TelnetProtocolHandler %l"
(Note: The default value data of the said registry entry is rundll32.exe url.dll,TelnetProtocolHandler %l.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.exe
@ = "winfiles"
(Note: The default value data of the said registry entry is exefile.)
HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.bfc\ShellNew
Command = "%System%\rundll32.com %System%\syncui.dll,Briefcase_Create %2!d! %1"
(Note: The default value data of the said registry entry is %System%\rundll32.exe %System%\syncui.dll,Briefcase_Create %2!d! %1.)
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Unknown\shell\openas\
command
@ = "%System%\finder.com %System%\shell32.dll,OpenAs_RunDLL %1"
(Note: The default value data of the said registry entry is %System%\rundll32.exe %System%\shell32.dll,OpenAs_RunDLL %1 .)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe 1"
(Note: The default value data of the said registry entry is Explorer.exe.)
Verbreitung
Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.
Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:
[autorun]
OPEN=D:\pagefile.pif
Lösungen
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
Im abgesicherten Modus neu starten
Step 3
Diesen Registrierungsschlüssel löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CLASSES_ROOT
- winfiles
- winfiles
- In HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\iexplore.pif
- shell
- shell
- In HKEY_CURRENT_USER\Software
- VB and VBA Program Settings
- VB and VBA Program Settings
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Torjan Program = "%Windows%\services.exe"
- Torjan Program = "%Windows%\services.exe"
- In HKEY_CURRENT_USER\Software\Internet Explorer\Main
- Check_Associations = "No"
- Check_Associations = "No"
Step 5
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.lnk\ShellNew
- From: Command = "%System%\rundll32.com appwiz.cpl,NewLinkHere %1"
To: Command = "%System%\rundll32.exe appwiz.cpl,NewLinkHere %1"
- From: Command = "%System%\rundll32.com appwiz.cpl,NewLinkHere %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\cplfile\shell\cplopen\command
- From: @ = "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
To: @ = "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
- From: @ = "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
- From: @ = "%Program Files%\Internet Explorer\iexplore.com"
To: @ = "%Program Files%\Internet Explorer\iexplore.exe"
- From: @ = "%Program Files%\Internet Explorer\iexplore.com"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\Drive\shell\find\command
- From: @ = "SystemRoot%\explorer.com"
To: @ = "SystemRoot%\explorer.exe"
- From: @ = "SystemRoot%\explorer.com"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\dunfile\shell\open\command
- From: @ = "%System%\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
To: @ = "%System%\rundll32.exe NETSHELL.DLL,InvokeDunFile %1"
- From: @ = "%System%\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\ftp\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\htmlfile\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" -nohome"
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\htmlfile\shell\opennew\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\HTTP\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" -nohome"
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\inffile\shell\Install\command
- From: @ = "%System%\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
To: @ = "%System%\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
- From: @ = "%System%\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\InternetShortcut\shell\open\command
- From: @ = "finder.com shdocvw.dll,OpenURL %l"
To: @ = "rundll32.exe shdocvw.dll,OpenURL %l"
- From: @ = "finder.com shdocvw.dll,OpenURL %l"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\scrfile\shell\install\command
- From: @ = "finder.com desk.cpl,InstallScreenSaver %l"
To: @ = "rundll32.exe desk.cpl,InstallScreenSaver %l"
- From: @ = "finder.com desk.cpl,InstallScreenSaver %l"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command
- From: @ = ""%System%\finder.com" %System%\scrobj.dll,GenerateTypeLib "%1""
To: @ = ""%System%\rundll32.exe" %System%\scrobj.dll,GenerateTypeLib "%1""
- From: @ = ""%System%\finder.com" %System%\scrobj.dll,GenerateTypeLib "%1""
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command
- From: @ = "finder.com url.dll,TelnetProtocolHandler %l"
To: @ = "rundll32.exe url.dll,TelnetProtocolHandler %l"
- From: @ = "finder.com url.dll,TelnetProtocolHandler %l"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command
- From: @ = "%System%\finder.com %System%\shell32.dll,OpenAs_RunDLL %1"
To: @ = "%System%\rundll32.exe %System%\shell32.dll,OpenAs_RunDLL %1"
- From: @ = "%System%\finder.com %System%\shell32.dll,OpenAs_RunDLL %1"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Shell = "Explorer.exe 1"
To: Shell = "Explorer.exe"
- From: Shell = "Explorer.exe 1"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.exe
- From: @ = "winfiles"
To: @ = "exefile"
- From: @ = "winfiles"
- In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.bfc\ShellNew
- From: Command = "%System%\rundll32.com %System%\syncui.dll,Briefcase_Create %2!d! %1"
To: Command = "%System%\rundll32.exe %System%\syncui.dll,Briefcase_Create %2!d! %1"
- From: Command = "%System%\rundll32.com %System%\syncui.dll,Briefcase_Create %2!d! %1"
Step 6
AUTORUN.INF Dateien suchen und löschen, die von WORM_LEGMIR.GT erstellt wurden und diese Zeichenfolgen enthalten
OPEN=D:\pagefile.pif
Step 7
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als WORM_LEGMIR.GT entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 8
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
RESTOREStep 9
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
RESTORENehmen Sie an unserer Umfrage teil