WORM_OTORUN.ASH

Um einen Überblick über das Verhalten dieser Worm zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise von anderer Malware eingeschleust.

Fügt Schlüssel/Einträge hinzu, um sich selbst im abgesicherten Modus auszuführen. Dies erschwert die Entfernung der Malware vom betroffenen Computer.

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Nutzt Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten.

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird. Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Diese Malware kann keine Daten stehlen.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}9.88.8/spr.dll

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Temp%\srv{random characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht bösartige Datei ein:

• %User Temp%\srv{Random Characters}.ini - configuration file

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgeführt werden:

• spoolsv.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
DisplayName = "srv{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{numbers}.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\Security
Security = "{hex values}"

Fügt die folgenden Schlüssel/Einträge hinzu, um sich selbst im abgesicherten Modus auszuführen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{Random Characters}

Andere Systemänderungen

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{Default Data} srv{Random Characters}"

(Note: The default value data of the said registry entry is {Default Data}.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = "0"

(Note: The default value data of the said registry entry is 11000.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

(Note: The default value data of the said registry entry is 1.)

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"

Verbreitung

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

;{garbage characters}
[AutoRun]
AcTIOn=opeN
;{garbage characters}
IcON=%Windows%\SYstEm32\ShelL32.DLl,4
;{garbage characters}
UsEaUtoPlAy=1
;{garbage characters}
oPEN=RUNDLl32.EXe sETup{numbers}.foN,{parameters}
;{garbage characters}
SHElL\eXPLore\ComManD=ruNDLL32.EXe setup{numbers}.fON,{parameters}
;{garbage characters}
SHelL\Open\cOmmaNd=rundLL32.EXE sETUP{numbers}.fON,{parameters}
;{garbage characters}

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Nutzt die folgenden Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten:

• Vulnerability in Server Service Could Allow Remote Code Execution (958644)

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

• http://{BLOCKED}.{BLOCKED}.49.103/sknock.php?affid={parameter}&data=version={parameter}|{infection information}
• http://{BLOCKED}.{BLOCKED}.112.138/service/listener.php?affid={Parameter}
• http://{BLOCKED}.{BLOCKED}.123.34/service/scripts/files/aff_50039.dll - inaccessible
• http://{BLOCKED}.{BLOCKED}.123.33/service/listener.php?affid=50039 - inaccessible

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}8.{BLOCKED}2.189.105/service/listener.php?affid={numbers} - inaccessible
• http://{BLOCKED}8.{BLOCKED}2.189.105/service/scripts/files/aff_{numbers}.dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/srv - configuration file
• http://{BLOCKED}9.{BLOCKED}5.49.103/dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/exe - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/dll - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/srv - Configuration File
• http://{BLOCKED}5.{BLOCKED}4.112.136/exe - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.138/X - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.139/service/scripts/files/aff_{parameter}.dll - BKDR_TDSS.KARU
• http://{BLOCKED}.{BLOCKED}.210.72/service/listener.php?affid=50045 - inaccessible
• http://{BLOCKES}.{BLOCKED}.210.72//srv - inaccessible
• http://{BLOCKED}.{BLOCKED}.162.20/service/scripts/files/aff_50045.dll - BKDR_TDSS.ASH
• http://{BLOCKED}.{BLOCKED}.210.72/X - updated copy of itself
• http://{BLOCKED}.{BLOCKED}.210.72//dll - inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34//srv – inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34/service/scripts/files/aff_50045.dll - detected as BKDR_TDSS.ASH
• http://{BLOCKED}4.{BLOCKED}0.123.34//dll – inaccessible
• http://{BLOCKED}9.88.7/X - detected as BKDR_TDSS.ASH
• http://{BLOCKED}9.88.7/srv.dat - encrypted configuration file
• http://{BLOCKED}.{BLOCKED}.123.34/X - inaccessible
• http://{BLOCKED}8.{BLOCKED}9.89.121/X – detected as TROJ_KRYPTK.SMUH
• http://{BLOCKED}8.{BLOCKED}9.89.121/exe – inaccessible

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\srv{Random Characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Datendiebstahl

Diese Malware kann keine Daten stehlen.