Worm.Win32.IPPEDO.AB
AIT:Trojan.Nymeria.14 (BITDEFENDER)
Windows
Type de grayware:
Worm
Destructif:
Non
Chiffrement:
Oui
In the wild::
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden. Löscht Registrierungseinträge, so dass einige Anwendungen und Programme nicht ordnungsgemäß ausgeführt werden.
Détails techniques
Übertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %System Root%\Google\{Malware Name}
- {Drive}\Skypee\{Malware Name}
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Schleust die folgenden Dateien ein:
- %System Root%\Google\Windowsupdate.lnk
- %System Root%\Google\GoogleUpdate.lnk
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Fügt die folgenden Prozesse hinzu:
- %comspec /c SystemInfo → when executed in Windows 7 or Windows XP
Erstellt die folgenden Ordner:
- %System Root%\Google
- {Drive}\Skypee
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- googleupdate
Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:
- combination of the following processes
- avp.exe, zonealarm.exe, and avguard.exe
- tcpview.exe, procmon.exe, and nod32kui.exe
- kavmm.exe, procmon.exe, and fsbwsys.exe
- vmacthlp.exe, avp.exe, and kavsvc.exe
- VBoxService.exe
- VBoxTray.exe
- guninraik.exe
- SbieSvc.exe
- VMwareTray.exe
- VMwareUser.exe
- VMwareService.exe
- VMwareUser.exe
- FortiTracer.exe
- vmacthlp.exe
- vmtoolsd.exe
- BehaviorDumper.exe
- FakeHTTPServer.exe
- FakeServer.exe
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = %System Root%\Google\GoogleUpdate.lnk
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = %System Root%\Google\{Malware Name}
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = %System Root%\Google\{Malware Name}
Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.
- Windowsupdate.lnk
- GoogleUpdate.lnk
Andere Systemänderungen
Löscht die folgenden Dateien:
- googleupdate.vbs
Ändert die folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = “0”
(Note: The default value data of the said registry entry is The default value data of the said registry entry is {User Preference}.)
Löscht die folgenden Registrierungseinträge:
HKEY_CLASSES_ROOT\lnkfile
IsShortcut =
Verbreitung
Erstellt den folgenden Ordner auf allen Festplatten- und Wechsellaufwerken:
- {Drive}\Skypee
Datendiebstahl
Folgende Daten werden gesammelt:
- Malware ID
- Computer Home Drive
- Computer Name
- Username
- OS Version
- OS Architecture
- Webcam Info("Yes" or "No")
- Malware Version
- Installed AV software
- Active Window Title
Andere Details
Es macht Folgendes:
- It terminates itself if system information contains the following strings:
- Bochs
- innotek
- VMware
- It terminates itself if the following folders are present:
- C:\CWSandbox
- C:\python26
- C:\cuckoo
- It terminates itself if the malware is executed in the following directories:
- C:\virus
- C:\
- It terminates itself if malware name meets the following conditions:
- contains "artifact" string
- contains "sample" string
- Malware Filename does not contain "."
- Malware Filename length exceeds 35
- Malware Filename starts with 7 or more numbers
- It terminates itself if the following process is not present:
- explorer.exe
- Drops copy of the files and folders in malware path to the following folder:
- {Drive}\Skypee
- It creates the following shortcut (.LNK) files in removable drives that points to its copy:
- My Games
- My Pictuers
- My Videos
- Hot
- Downloads
- Movies
- Skypee\Skypee
- It also creates shortcut (.LNK) files using folder names as its filename in folders in all of the drives that points to its copy.
Solutions
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 3
Im abgesicherten Modus neu starten
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- Windows Update = %System Root%\Google\Windowsupdate.lnk
- Windows Update = %System Root%\Google\Windowsupdate.lnk
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Windows Update = %System Root%\Google\Windowsupdate.lnk
- Windows Update = %System Root%\Google\Windowsupdate.lnk
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- JavaUpdate = %System Root%\Google\GoogleUpdate.lnk
- JavaUpdate = %System Root%\Google\GoogleUpdate.lnk
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk
- AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- NewJavaInstall= %System Root%\Google\{Malware Name}
- NewJavaInstall= %System Root%\Google\{Malware Name}
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- AdopeFlash = %System Root%\Google\{Malware Name}
- AdopeFlash = %System Root%\Google\{Malware Name}
Step 5
Restore this modified registry value
Important: Editing the Windows Registry incorrectly can lead to irreversible system malfunction. Please do this only if you know how to or you can seek your system administrator’s help. You may also check out this Microsoft article first before modifying your computer's registry.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- ShowSuperHidden = “0”
- ShowSuperHidden = “0”
Step 6
Restore this deleted registry key/value from backup
*Note: Only Microsoft-related keys/values will be restored. If the malware/grayware also deleted registry keys/values related to programs that are not from Microsoft, please reinstall those programs on your computer.
- In HKEY_CLASSES_ROOT\lnkfile
- IsShortcut
- IsShortcut
Step 7
Diese Ordner suchen und löschen
- %System Root%\Google
- {All Drive}\Skypee
Step 8
Diese Dateien suchen und löschen
- %User Startup%\Windows Update.lnk
- %User Startup%\GoogleUpdate.lnk
- {Removable Drive}\My Games.lnk
- {Removable Drive}\My Pictuers.lnk
- {Removable Drive}\My Videos.lnk
- {Removable Drive}\Hot.lnk
- {Removable Drive}\Downloads.lnk
- {Removable Drive}\Movies.lnk
- %User Startup%\Windows Update.lnk
- %User Startup%\GoogleUpdate.lnk
- {Removable Drive}\My Games.lnk
- {Removable Drive}\My Pictuers.lnk
- {Removable Drive}\My Videos.lnk
- {Removable Drive}\Hot.lnk
- {Removable Drive}\Downloads.lnk
- {Removable Drive}\Movies.lnk
Step 9
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Worm.Win32.IPPEDO.AB entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Participez à notre enquête!