WORM_LEGMIR.GT

Leitet Dateien durch Hinzufügen bestimmter Registrierungseinträge um. Dadurch kann diese Malware ausgeführt werden, auch wenn andere Anwendungen geöffnet sind.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

File size: 33,833 bytes

File type: EXE

Memory resident: Oui

Date de réception des premiers échantillons: 21 juillet 2007

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com
%System%\command.pif
%System%\dxdiag.com
%System%\finder.com
%System%\MSCONFIG.COM
%System%\regedit.com
%System%\rundll32.com
%Windows%\1.com
%Windows%\Debug\DebugProgram.exe
%Windows%\ExERoute.exe
%Windows%\explorer.com
%Windows%\finder.com
D:\pagefile.pif
%Windows%\services.exe

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Torjan Program = "%Windows%\services.exe"

Leitet Dateien um, damit sie beim Zugriff auf bestimmte Dateitypen ausgeführt wird, indem sie die folgenden Einträge hinzufügt:

HKEY_CLASSES_ROOT\winfiles\Shell\
Open\Command
@ = "%Windows%\ExeRoute.exe "%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\iexplore.pif\shell
@ = "%Program Files%\Common Files\iexplore.pif"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\VB and VBA Program Settings

HKEY_CLASSES_ROOT\winfiles

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\iexplore.pif\shell

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Internet Explorer\
Main
Check_Associations = "No"

Ändert die folgenden Registrierungseinträge:

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
Applications\iexplore.exe\shell\
open\command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"

(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.lnk\ShellNew
Command = "%System%\rundll32.com appwiz.cpl,NewLinkHere %1"

(Note: The default value data of the said registry entry is %System%\rundll32.exe appwiz.cpl,NewLinkHere %1.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
cplfile\shell\cplopen\
command
@ = "rundll32.com shell32.dll,Control_RunDLL "%1",%*"

(Note: The default value data of the said registry entry is rundll32.exe shell32.dll,Control_RunDLL "%1",%*.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\
OpenHomePage\Command
@ = "%Program Files%\Internet Explorer\iexplore.com"

(Note: The default value data of the said registry entry is %Program Files%\Internet Explorer\iexplore.exe.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
Drive\shell\find\
command
@ = "SystemRoot%\explorer.com"

(Note: The default value data of the said registry entry is SystemRoot%\explorer.exe.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
dunfile\shell\open\
command
@ = "%System%\rundll32.com NETSHELL.DLL,InvokeDunFile %1"

(Note: The default value data of the said registry entry is %System%\rundll32.exe NETSHELL.DLL,InvokeDunFile %1.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
ftp\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"

(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
htmlfile\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"

(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" -nohome.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
htmlfile\shell\opennew\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" %1"

(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" %1.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
HTTP\shell\open\
command
@ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"

(Note: The default value data of the said registry entry is "%Program Files%\Internet Explorer\iexplore.exe" -nohome.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
inffile\shell\Install\
command
@ = "%System%\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"

(Note: The default value data of the said registry entry is %System%\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1 .)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
InternetShortcut\shell\open\
command
@ = "finder.com shdocvw.dll,OpenURL %l"

(Note: The default value data of the said registry entry is rundll32.exe shdocvw.dll,OpenURL %l.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
scrfile\shell\install\
command
@ = "finder.com desk.cpl,InstallScreenSaver %l"

(Note: The default value data of the said registry entry is rundll32.exe desk.cpl,InstallScreenSaver %l.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
scriptletfile\Shell\Generate Typelib\
command
@ = ""%System%\finder.com" %System%\scrobj.dll,GenerateTypeLib "%1""

(Note: The default value data of the said registry entry is "%System%\rundl32.dll" %System%\scrobj.dll,GenerateTypeLib "%1".)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
telnet\shell\open\
command
@ = "finder.com url.dll,TelnetProtocolHandler %l"

(Note: The default value data of the said registry entry is rundll32.exe url.dll,TelnetProtocolHandler %l.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.exe
@ = "winfiles"

(Note: The default value data of the said registry entry is exefile.)

HKEY_CLASSES_ROOT\SOFTWARE\Classes\
.bfc\ShellNew
Command = "%System%\rundll32.com %System%\syncui.dll,Briefcase_Create %2!d! %1"

(Note: The default value data of the said registry entry is %System%\rundll32.exe %System%\syncui.dll,Briefcase_Create %2!d! %1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Unknown\shell\openas\
command
@ = "%System%\finder.com %System%\shell32.dll,OpenAs_RunDLL %1"

(Note: The default value data of the said registry entry is %System%\rundll32.exe %System%\shell32.dll,OpenAs_RunDLL %1 .)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe 1"

(Note: The default value data of the said registry entry is Explorer.exe.)

Verbreitung

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
OPEN=D:\pagefile.pif

Moteur de scan minimum: 9.200

First VSAPI Pattern File: 4.608.11

First VSAPI Pattern Release Date: 21 juillet 2007

VSAPI OPR Pattern Version: 4.609.00

VSAPI OPR Pattern Release Date: 22 juillet 2007

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Im abgesicherten Modus neu starten

[ learnMore ]

Step 3

Diesen Registrierungsschlüssel löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_CLASSES_ROOT
- winfiles
In HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\iexplore.pif
- shell
In HKEY_CURRENT_USER\Software
- VB and VBA Program Settings

Step 4

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Torjan Program = "%Windows%\services.exe"
In HKEY_CURRENT_USER\Software\Internet Explorer\Main
- Check_Associations = "No"

Step 5

Diesen geänderten Registrierungswert wiederherstellen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_CLASSES_ROOT\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
  To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.lnk\ShellNew
- From: Command = "%System%\rundll32.com appwiz.cpl,NewLinkHere %1"
  To: Command = "%System%\rundll32.exe appwiz.cpl,NewLinkHere %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\cplfile\shell\cplopen\command
- From: @ = "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
  To: @ = "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
- From: @ = "%Program Files%\Internet Explorer\iexplore.com"
  To: @ = "%Program Files%\Internet Explorer\iexplore.exe"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\Drive\shell\find\command
- From: @ = "SystemRoot%\explorer.com"
  To: @ = "SystemRoot%\explorer.exe"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\dunfile\shell\open\command
- From: @ = "%System%\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
  To: @ = "%System%\rundll32.exe NETSHELL.DLL,InvokeDunFile %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\ftp\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
  To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\htmlfile\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
  To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" -nohome"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\htmlfile\shell\opennew\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" %1"
  To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\HTTP\shell\open\command
- From: @ = ""%Program Files%\Internet Explorer\iexplore.com" -nohome"
  To: @ = ""%Program Files%\Internet Explorer\iexplore.exe" -nohome"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\inffile\shell\Install\command
- From: @ = "%System%\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
  To: @ = "%System%\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\InternetShortcut\shell\open\command
- From: @ = "finder.com shdocvw.dll,OpenURL %l"
  To: @ = "rundll32.exe shdocvw.dll,OpenURL %l"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\scrfile\shell\install\command
- From: @ = "finder.com desk.cpl,InstallScreenSaver %l"
  To: @ = "rundll32.exe desk.cpl,InstallScreenSaver %l"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command
- From: @ = ""%System%\finder.com" %System%\scrobj.dll,GenerateTypeLib "%1""
  To: @ = ""%System%\rundll32.exe" %System%\scrobj.dll,GenerateTypeLib "%1""
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command
- From: @ = "finder.com url.dll,TelnetProtocolHandler %l"
  To: @ = "rundll32.exe url.dll,TelnetProtocolHandler %l"
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command
- From: @ = "%System%\finder.com %System%\shell32.dll,OpenAs_RunDLL %1"
  To: @ = "%System%\rundll32.exe %System%\shell32.dll,OpenAs_RunDLL %1"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Shell = "Explorer.exe 1"
  To: Shell = "Explorer.exe"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.exe
- From: @ = "winfiles"
  To: @ = "exefile"
In HKEY_CLASSES_ROOT\SOFTWARE\Classes\.bfc\ShellNew
- From: Command = "%System%\rundll32.com %System%\syncui.dll,Briefcase_Create %2!d! %1"
  To: Command = "%System%\rundll32.exe %System%\syncui.dll,Briefcase_Create %2!d! %1"

Ausführung der Malware/Grayware/Spyware beenden, wenn bestimmte Dateien geöffnet sind:

Öffnen Sie das Fenster Ausführen. Klicken Sie dazu auf Start > Ausführen.
Geben Sie in das Feld Öffnen folgenden Befehl ein:
command /c copy %WinDir%egedit.exe regedit.com | regedit.com
Drücken Sie die Eingabetaste. Der Registrierungs-Editor wird geöffnet.
Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>Applications>iexplore.exe>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>.lnk>ShellNew
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>cplfile>shell>cplopen>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>CLSID>{871C5380-42A0-1069-A2EA-08002B30309D}>shell>OpenHomePage>Command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>Drive>shell>find>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>dunfile>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>ftp>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>htmlfile>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>htmlfile>shell>opennew>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>HTTP>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>inffile>shell>Install>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>InternetShortcut>shell>open>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>scrfile>shell>install>command
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>scriptletfile>Shell>Generate Typelib>command
- HKEY_LOCAL_MACHINE>SOFTWARE>Classes>telnet>shell>open>command
- HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Unknown>shell>openas>command
- HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>.exe
- HKEY_CLASSES_ROOT>SOFTWARE>Classes>.bfc>ShellNew
Suchen Sie im rechten Fensterbereich nach dem Registrierungswert:
Standard
Überprüfen Sie, ob der Wert dem Pfad und Dateinamen der Malware-/Grayware-/Spyware-Datei entspricht.
Wenn es sich beim Wert um die Malware-/Grayware-/Spyware-Datei handelt, klicken Sie mit der rechten Maustaste auf den Schlüssel Standard, und wählen Sie Ändern, um seinen Wert zu ändern.
Löschen Sie im Eingabefeld Wert den vorhandenen Eintrag, und geben Sie den Standardwert ein:
%1 %*
Wiederholen Sie diesen Schritt für die folgenden Registrierungsschlüssel:
Schließen Sie den Registrierungs-Editor.
Klicken Sie auf Start > Ausführen, und geben Sie folgenden Befehl ein:
command /c del regedit.com
Drücken Sie die Eingabetaste.

Step 6

AUTORUN.INF Dateien suchen und löschen, die von WORM_LEGMIR.GT erstellt wurden und diese Zeichenfolgen enthalten

[ learnMore ]

[autorun]
OPEN=D:\pagefile.pif

Step 7

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als WORM_LEGMIR.GT entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Step 8

Diesen geänderten Registrierungswert wiederherstellen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

RESTORE

Schließen Sie den Registrierungs-Editor.

Step 9

Diesen geänderten Registrierungswert wiederherstellen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

RESTORE

Schließen Sie den Registrierungs-Editor.

Participez à notre enquête!

Overview

Détails techniques

Solutions

Ressources

Support

À propos de Trend

Siège social national

WORM_LEGMIR.GT

Overview

Détails techniques

Solutions

Ressources

Support

À propos de Trend

Siège social national

Amérique

Moyen-Orient et Afrique

Europe

Asie-Pacifique