WORM_NITOL.I

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\hrl{random}.tmp <-- also detected as WORM_NITOL.I, deleted afterwards
• %System%\{random}.exe <-- detected as WORM_NITOL.I, copy of hrl{random}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\hra33.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• National{random} <-- same as registered service name

Autostart-Technik

Registriert die eigene eingeschleuste Komponente als Systemdienst, um zu gewährleisten, dass diese bei jedem Systemstart automatisch ausgeführt wird. Erstellt dafür die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}
ImagePath = %System%\{random}.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}
DisplayName = National{random} Instruments Domain Service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}
Description = Provides{random} a domain server for NI security.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}\Security
Security = {hex value}

Registriert die eigene eingeschleuste Komponente als Systemdienst, um zu gewährleisten, dass diese bei jedem Systemstart automatisch ausgeführt wird. Erstellt dafür die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\National{random}\Security

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download and execute arbitrary files