WORM_PUSHBOT.ZQ

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen. Kann durch Klicken auf bösartige Spam-Links auf der Social-Networking-Site Facebook auf ein System gelangen.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Kann durch Klicken auf bösartige Spam-Links auf der Social-Networking-Site Facebook auf ein System gelangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\daeuks.exe
• %User Startup%\cnunw.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua\{E525B997-4A1A-425a-84B7-5D98AF7F902A}
{random} = "{malware path and file name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
flsecjv = "%Application Data%\daeuks.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\AppDataLow

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua

HKEY_CURRENT_USER\Software\AppDataLow\
tdlpmvceqfaskmyfxua\{E525B997-4A1A-425a-84B7-5D98AF7F902A}

Verbreitung

Versendet Nachrichten mit Links zu Sites mit externen Eigenkopien über die folgenden Instant-Messaging-Anwendungen:

• Skype
• MSN Messenger
• Windows Messenger

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}la.com
• {BLOCKED}l.com
• {BLOCKED}t.com
• {BLOCKED}rt.com
• {BLOCKED}l.com
• {BLOCKED}l.com
• {BLOCKED}t.ie
• {BLOCKED}t.la
• {BLOCKED}t.to
• {BLOCKED}dress.com
• {BLOCKED}r.com
• {BLOCKED}n.ws
• {BLOCKED}ner.net
• {BLOCKED}rlink.com
• {BLOCKED}fy.wikinote.com
• {BLOCKED}inks.co.uk
• {BLOCKED}n.me
• {BLOCKED}rl.us
• {BLOCKED}t.com
• {BLOCKED}l.com
• {BLOCKED}fy.com
• {BLOCKED}matic.com
• {BLOCKED}ter.com
• {BLOCKED}t.st
• {BLOCKED}rl.com
• {BLOCKED}l.com
• {BLOCKED}l.net
• {BLOCKED}rl.com
• {BLOCKED}y.net
• {BLOCKED}e.to
• {BLOCKED}i.com
• {BLOCKED}k.com
• {BLOCKED}y.net
• {BLOCKED}rl.com
• {BLOCKED}i.li
• {BLOCKED}rl.net
• {BLOCKED}y.cc
• {BLOCKED}nk.com
• {BLOCKED}p.net
• {BLOCKED}rl.com
• {BLOCKED}j.org
• {BLOCKED}o.ly
• {BLOCKED}r.im
• {BLOCKED}a.kz
• {BLOCKED}rl.com
• {BLOCKED}m.li
• {BLOCKED}l.com
• {BLOCKED}o.us
• {BLOCKED}3.it
• {BLOCKED}i.bz
• {BLOCKED}l.at
• {BLOCKED}turl.com
• {BLOCKED}clicks.com
• {BLOCKED}pwr.com
• {BLOCKED}t.at
• {BLOCKED}l.cc